PHPの重大な脆弱性2件を修正、早くも攻撃を確認

PHPの開発チームは、いずれも10点満点中9.2と評価された2件の重大な脆弱性について、緊急の修正版を公開した。これらの欠陥により、攻撃者は認証なしでサーバー上の任意のコードを遠隔から実行できる。Cloudflareはすでに、悪用の最初の試みを確認している。

修正版は10月21日に公開され、PHP 8.2.35、8.3.36、8.4.27、8.5.12が対象となる。8.1以前のバージョンはプロジェクトの通常サポートを受けていないが、7.4、8.0、8.1向けにはソースコードの個別の修正が提供されている。一部のサーバーソフトウェア提供元も、独自のセキュリティ更新を配布している。

1件目の脆弱性CVE-2026-109618は、メモリが枯渇した状況で発生するメモリ破壊に起因する。2件目のCVE-2026-109619は、直前のリクエストの処理後に解放されたメモリ領域へアクセスできてしまうものである。いずれもPHPプロセスの権限でのコード実行や、サーバー上のデータの侵害につながるおそれがある。

開発者によれば、特に危険にさらされるのは、mod_phpモジュールを使用するApacheサーバーである。攻撃は認証なしで可能で、1回のリクエストで足り、サイト本体のプログラムが起動する前に不正なコードが実行される可能性もある。

脅威の規模は大きい。W3Techsによると、サーバー側の言語を特定できたサイトの69.3%でPHPが使われている。WordPress、Drupal、Joomla、Magentoなどがその例である。脆弱性はPHP自体に存在するため、コンテンツ管理システムを更新するだけでは問題は解消されない。

これらの欠陥に関する情報は、予定されていた公開日より前に外部へ流出した。Cloudflareは追加の防御ルールを導入したが、PHPの修正版の適用に代わるものではないと注意を促している。

管理者には、直ちにPHPを更新することが推奨されている。更新が難しい場合、CERT-EUは脆弱なアプリケーションを一時的にインターネットから隔離するよう勧めている。追加の防御策は個別の攻撃のリスクを下げられるが、サーバーの安全を保証するものではない。