PHPで新たな脆弱性CVE-2026-115560が判明

PHPの開発チームは10月23日、Webサーバー上でリモートからコードを実行できる新たな脆弱性CVE-2026-115560について警告しました。この通知は、重大なPHP2Shell脆弱性に対する緊急修正の公開から2日後に出されました。

この問題は特殊な構成のアプリケーションにのみ影響するため、開発者は悪用の可能性は低いと見ています。臨時のアップデートは予定されていません。次の定期リリースまでの間、専門家はセッション内のファイルアップロード進行状況の追跡機能（session upload progress）を無効にするよう推奨しています。

この脆弱性は、次の3つの条件がすべて満たされた場合にのみ発生します。第一に、パラメータsession.serialize_handlerの値がphp_binaryまたはphp_serializeであること。第二に、アプリケーションが実行中にsession_start()の呼び出し前にini_set()でこの値をphpに変更すること。第三に、session upload progress機能が有効であること。この機能は初期設定で有効になっています。

対策として、アプリケーションのコードではなくサーバーの設定でsession.upload_progress.enabled=0を指定し、すべてのPHPワーカープロセスを再起動する必要があります。PHPチームは10月21日にも、PHP2Shell脆弱性の一つであるCVE-2026-109619の一時的な防御策として、セキュリティ情報GHSA-6wmf-4rv5-p3rpでこの同じ設定を案内していました。当時この設定を適用し、解除していなければ、追加の対応は不要です。また、修正の適用後も、不要であればこの機能を有効に戻さないよう専門家は勧めています。攻撃者は、利用頻度が低くテストも不十分なこの機能の弱点を、ますます積極的に探しているためです。

The Hacker Newsによると、10月21日に公開されたPHP 8.5.12、8.4.27、8.3.36、8.2.35では、この新しい脆弱性は修正されていません。修正は通常のリリースサイクルで行われ、CVE-2026-115560に関する詳細なセキュリティ情報は次のリリースとともに公開される予定です。影響を受けるバージョン、修正が含まれるビルド、脅威の深刻度については、まだ明らかにされていません。CVE-2026-109619との関連の有無も不明です。実際の攻撃で悪用されたという報告はありません。

一方、PHP2Shell脆弱性であるCVE-2026-109618とCVE-2026-109619を悪用しようとする試みは続いています。Amazonのハニーポットは、公開の4日前にあたる10月17日に試行を確認しました。Cloudflareによると、試行回数は10月21日の公開後45分間の数万件から、22日朝までに数百万件へと増加しました。SophosとArctic Wolfは、攻撃者がこれらの脆弱性を利用してMiraiボットネットの亜種をインストールしようとしたものの、これまでのところ成功していないと報告しています。PrevidianやWordfenceなどの企業は、サーバーへのスキャンや確認作業のみを確認しており、コード実行が確認された事例はありません。研究者によると、信頼性の高いエクスプロイトの作成は想定以上に難しいということです。この動きは、10月21日に修正された2つの脆弱性を対象としたもので、CVE-2026-115560とは関係ありません。