2026年10月21日、英国国家サイバーセキュリティセンター（NCSC）によって、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）に関する、英国の組織への即時対応の呼びかけがありました。（NCSC｜PHP セキュリティアドバイザリ）
- 英NCSCがPHPの重大な脆弱性2件を受け、英国の組織に直ちに更新などの対応を取るよう呼びかけた
- 認証なしの遠隔コマンド実行（RCE）に悪用され得るとされ、PHPのあらゆるバージョンが影響を受けるとしている
- 修正版は8.5.12、8.4.27、8.3.36、8.2.35で、更新できない場合は緩和策か、システムのオフライン化を促す
英国国家サイバーセキュリティセンター（NCSC）は2026年10月21日、ウェブ開発で広く使われるサーバー側スクリプト言語PHPの重大なセキュリティ問題（CVE-2026-109618、CVE-2026-109619）について、英国の組織に直ちに対応するよう呼びかけた。PHPはセキュリティ更新を公開済みで、攻撃者がPHPを動かすあらゆるウェブサーバーでコマンドを実行できるおそれがあるという。NCSCは、PHPのあらゆるバージョンが影響を受けるとしており、旧バージョンを使う組織には、サポート対象のバージョンへ更新するよう促している。
NCSCによると、この問題は、攻撃者がPHPでメモリ不足（OOM）の状態を引き起こし、メモリ破壊を生じさせるもので、特定の条件下では認証なしの遠隔コード実行に悪用され得る。CVE-2026-109618は、メモリ不足の処理により、リクエストの内部データが一部しか初期化されていない状態でPHPが中断され、後始末の処理が不正なデータを正当なものとして扱う問題。CVE-2026-109619は、リクエストが持つ内部状態が、元のメモリの解放後も残り、同じワーカーが処理する後続のリクエストが、通常の初期化の前にその古い状態を使うおそれがある問題である。セキュリティ企業のテナブルによれば、PHPのセキュリティチームは、両方の深刻度をCVSS v4.0で9.2としている。
NCSCは、優先すべき対応として、インターネットに面したシステムを優先してPHPを使うシステムを洗い出すこと（古いバージョンに限らない）、PHPを同梱する機器やサービスを含め、ベンダーの更新を継続して確認・適用すること、最新バージョンへ更新すること、PHPチームが示す追加の強化策を適用することを挙げる。
更新できない場合は、PHPチームの一時的な緩和策を使い、それも難しい場合は、完全に緩和できるまでシステムをオフラインにすることを検討するよう求めている。直ちに更新も停止もできない場合は、更新前に侵害の痕跡やバックドアがないかを調べ、自力で難しければ、NCSC認定のインシデント対応事業者に支援を求めるよう勧める。オランダのNCSC-NLは、PHPに依存する可能性のあるソフトウェア製品の一覧を公開している。
ヘルプ・ネット・セキュリティやテナブルによれば、修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、8.1以前は公式のサポートがなく、一部のLinuxディストリビューションなどが修正を提供する。PHP-FPM、Apacheのmod_php、FrankenPHPなど、ウェブリクエストを処理する構成が対象で、mod_phpのリスクが最も高い。更新までの緩和策として、PHPはCVE-2026-109618についてmemory_limit=-1（アプリが上書きできない形で）、CVE-2026-109619についてsession.upload_progress.enabled=0などを挙げ、ワーカーの再起動を求めている。
ただし、完全な対策は更新のみで、NCSCは悪用の有無に言及していないが、クラウドフレアのCTOは「初期の攻撃が出始めている」と述べ、watchTowrも攻撃の試行を観測していると報じられている。カリフ（Calif）は、WordPress、Drupal、Joomla、Magentoの特定バージョンで、認証前の遠隔コード実行を確認したとしている。これらは報道に基づく情報で、公式文書で個別に確認できていない。
Leave a Reply