PHPに外からコード実行の脆弱性2件、悪用の観測も
PHP に、
脆弱性の概要
緊急CVSS9.2
- 対象
- PHP
- 悪用
- あり（確認済み）
- 影響
- Webサーバーで任意のコードを実行される
- 修正版
- 修正版あり
- 公表元
- PHP Group / JPCERT/CC
| 製品 | 対象の版 | 修正版 |
|---|---|---|
| PHP 8.5系 | 8.5.12 より前 | 8.5.12 |
| PHP 8.4系 | 8.4.27 より前 | 8.4.27 |
| PHP 8.3系 | 8.3.36 より前 | 8.3.36 |
| PHP 8.2系 | 8.2.35 より前 | 8.2.35 |
| PHP 8.1系以前 | すべて | 修正版なし（サポート中の版へ移行） |
やること
PHP は、多くの Web サイトや業務システムを動かしているプログラム言語です。WordPress や EC-CUBE も PHP で動きます。次の修正版へ更新してください。
- 8.5系は 8.5.12、8.4系は 8.4.27、8.3系は 8.3.36、8.2系は 8.2.35 です
- 8.1系以前には修正版が出ません。サポート中の版へ移ってください
- すぐに更新できない場合は、PHP Group が示す設定の変更で一部の攻撃経路をふさげます。session.upload_progress.enabled を 0 にして、すべてのプロセスを再起動します。ただし根本的な対策は更新だけです
何が危ないのか
PHP Group は10月21日に、CVE-2026-109618 と CVE-2026-109619 を公表しました。どちらも、PHP の内部のメモリの扱いに欠陥があり、細工した通信でサーバー上のコードを実行されるおそれがあります。CVSS は v4.0 で 9.2 です。
PHP Group によると、Web からの要求を受けるすべての PHP が対象です。PHP-FPM、Apache の mod_php、php-cgi などを含み、危険がいちばん高いのは mod_php です。mod_php では、ログインなしの要求で、アプリが動く前に攻撃できることが示されています。
JPCERT/CC は10月22日に注意喚起を出しました。悪用できるとする実証コードが多く出回り、悪用を試みる通信の観測も相次いでいます。10月29日の追記では、あるファイアウォール製品で侵害の跡が見つかったという報告も紹介しています。米国の CISA も10月26日に、悪用が確認された脆弱性の一覧に載せました。
対象
PHP 8.2系から 8.5系の、上の表の修正版より前の版が対象です。サポートが終わった 7.4、8.0、8.1 には、ソースから組み込む人向けの最小限の修正が別に出ています。
自社で確かめること
- サイトの PHP の版を確かめる自社サイトや業務システムが動く PHP の版を確認してください。レンタルサーバーや制作会社に任せている場合は、更新の予定を問い合わせてください。
- 製品に入った PHP も確かめるLinux の配布物や機器・製品に同梱された PHP も影響を受ける場合があります。それぞれの提供元の案内を確認してください。
- ログに不審な跡がないか見るJPCERT/CC は、PHPSESSID クッキーに異常に長い値がないか、HTTP 500 エラーや PHP の異常終了が続いていないかを見るよう案内しています。
コメント 0
まだコメントはありません。