PHPの重大脆弱性2件、緊急修正版を10月21日に公開

PHPの開発者は重大な脆弱性を二つ公表し、いずれもCVSS 4.0で9.2と評価した。¹ CERT-EUは関連する問題をCVE-2026-109618とCVE-2026-109619として特定し、悪用されれば遠隔から任意のコードを実行される可能性があると警告した。³ 影響はPHP 5以降の環境に及ぶ可能性があり、サーバー設定によっては認証を経ないコード実行につながり得る。²³ データの窃取やウェブサイトの改変も起こり得る影響として挙げられたが、実際の危険は個々のサーバー設定に左右される。²

PHP側は当初、修正版を日本時間の10月21日午後11時に公開する予定だった。¹ 脆弱性に関する情報がネット上に出回り始めたため、公開時刻は前倒しされた。¹ 公開予定は午後10時から午後10時30分～10時40分へ変更されたと伝えられている。¹ 別の報道では、予定より一日早く公開する判断だったとされ、二つの説明は、漏えいを受けた前倒しと日程変更をそれぞれ示している。¹²

修正に至る経緯は、2024年の外部セキュリティ監査にさかのぼる。¹ その監査では、今回の脆弱性の一つを示唆する問題が見つかっていた。¹ PHPチームは、影響するメモリー管理とエラー処理のコードを直すのは難しかったと説明し、対応の遅れを構造上の失敗と表現した。¹ 2026年には、Claude MythosやOpenAIが開発したDaybreak Redといったツールも活用して、セキュリティ作業が進められた。¹

Califの研究者はリモートコード実行の問題を報告し、OpenAIも8月11日に同じ根本原因を報告した。¹ PHP Foundationによれば、問題はメモリー管理とエラー処理のコードに集中していた。¹ そのコードはほぼすべてのリクエストで使われるため、特定の機能だけに限られた問題ではなかった。¹ ただし、脆弱性が潜在的に及ぶ環境の広さと、各サーバーで実際に悪用できるかどうかは同じではなく、後者には設定条件が関わる。²³

PHPはウェブサイトで広く使われ、WordPressもPHPに依存している。³ W3Techsによると、サーバー側の言語が判明しているウェブサイトでは、およそ七割がPHPを使う。² この割合は、言語を確認できたサイトを母数とする数字であり、すべてのウェブサイトを対象にした割合としては示されていない。² こうした利用の広がりは、対応が個別の技術企業だけでなく、政府、金融、交通、消費者向けサービスにも及んだ理由を説明する一因となる。³

日本では、さくらインターネット、Cygames、pixivが緊急メンテナンスを実施した。³ 対応サービスにはBASE、niconico、DMM.comも含まれ、ゲームでは『グランブルーファンタジー』と『ウマ娘 プリティーダービー』も挙げられた。² 金融や交通などでは、野村、MUFG、ANA、東日本旅客鉄道がインターネットサービスの一部を一時停止した。⁶ 財務省もウェブサイトの一部サービスを一時停止し、広範な運営者が異なる形でアクセスを制限した。²³⁶

日本の情報処理推進機構と国家サイバー統括室は注意を促し、首相の高市早苗は修正適用に向けて速やかに備えるよう求めた。² 高市は、すぐに修正を適用するのが難しい場合、ウェブサイトを一時停止することでリスクを抑えられる場合があると述べた。¹ 高市の公式サイトも、管理者が問題に対処する間は停止され、その後に復旧した。¹ 夜間の警告にすぐ気づかない運営者もいるため、ウェブサイトやサーバーの管理者が重要な役割を担うとも指摘した。¹

Cloudflareは、脆弱性の公表前の時間帯に数千件の悪用の試みを観測したと報告した。⁶ 公表から45分以内には数万件に達し、その後まもなく数十万件へと増え、さらに数百万件に達したという。⁶ 同社は脆弱性の公表当日に、これを狙う攻撃を観測したとも述べている。² 公表後の急増は、修正の準備やアクセス制限を急ぐよう当局が促した背景と整合する。¹

PHP開発チームは10月21日に修正版を公開したが、各運営者が自らのシステムへ導入する必要があった。² PHP利用者には、修正版が入手可能になった後、速やかに更新するよう呼びかけられた。³ 修正プログラムを含むソフトウェアは、公式の公開時刻より6時間以上早く出回っていた。² デモ動画も誤って公開され、削除後も複製が広がり続けたため、公開前の情報管理も対応を急がせる要素になった。² 修正版の適用は欠陥を塞ぎ、一時停止は適用前の露出を抑える措置であり、両者は短期的なリスク対応の別々の部分だった。³ フィンランドでは、政府機関のValtoriが夜間にセキュリティ更新を導入し、公共ウェブサイトを段階的に復旧させた。⁶