PHPチーム、スコア9.2の深刻な二つの脆弱性に対するパッチを公開、影響は世界のウェブ環境の約七割に波及

PHPプロジェクトの保守組織は2026年10月21日、いくつかの緊急修正バージョンをリリースし、CVE-2026-109618およびCVE-2026-109619としてカタログ化された二つの深刻なソフトウェア脆弱性を重点的に修正した。¹ CVSS v4.0のセキュリティ基準評価システムにおいて、これら両脆弱性はともに9.2点という高危険度レベルと判定された。¹ 外部ネットワークにいる攻撃者は、いかなる認証情報も保持することなく、これらの脆弱点を遠隔から作動させて破壊を行うことが可能である。¹ 今回公式に提示された直接のアップグレード対応策は主流のサポート対象ブランチを網羅しており、8.5.12、8.4.27、8.3.36および8.2.35という四つの修正バージョンが含まれている。¹

当初の対応スケジュールによると、PHP保守チームは10月22日に欠陥に関する情報封鎖を正式に解除する予定であった。⁴ しかしセキュリティ情勢の変化により、開発側はパッチ公開の時期を協定世界時10月21日14時に前倒しすることを決定した。⁴ この一連の脆弱性は主に、ネットワーク経由で外部からの呼び出しを受け付けて処理するPHPの実行インスタンスに波及する。¹ その中でも、Apacheのmod_phpメカニズムを採用して統合された配備アーキテクチャは、より顕著な攻撃リスクを負うことになる。¹

コードレベルのメカニズムから見ると、CVE-2026-109618は実行環境がメモリ枯渇に直面した際のロジックの欠陥に起因している。¹ 不要となったデータ断片を消去する過程においてメモリ状態の破損が発生する可能性があり、それによって攻撃者に任意の遠隔コマンドを実行する道を開くことになる。¹ もう一つのCVE-2026-109619という番号の欠陥は、メモリ解放後の内部残留状態の管理に関するものである。¹ これら徹底的にクリーンアップされていない構造が後続のリクエストを受ける際に繰り返し呼び出されるため、システムには深刻なセキュリティ上の懸念が露呈することとなった。¹

世界中のおよそ69.3%のウェブサイトがPHP言語に依拠して構築されているため、これら二つの脆弱性は広大なインターネットの基盤において少なからぬ波紋を広げた。³ パッチ公開前後の言論の場において、技術交流プラットフォームのHacker Newsに、コード実行脆弱性のCVSSスコアが10点に達し、脅威がPHP 5以降の全バージョンに広がっていると主張する議論のスレッドが出現した。³ この一連のセキュリティ脆弱性を対象に設計された自動化ツールPHP2Shellは、PHP 5.4.0およびそれ以上のバージョン環境において動作能力を維持できると主張されている。³ EUのサイバーセキュリティ緊急対応を担うチームは、CVE-2026-109619およびCVE-2026-109618の二つの脆弱性識別番号に対して確認を行い、同時にPHP 5以降の後続バージョンがすべて潜在的な脅威の対象に含まれると警告した。⁷

これほど膨大な技術基盤に直面し、各地域の管理機関や企業のシステムサポート能力が試されることとなった。¹³ 救済措置が正式に一般公開されるよりも早くから、オランダおよびフィンランドの管轄内にある一部の政府機関は、予防のために先手を打って関連サイトを閉鎖した。¹ 日本市場では、21日夜間から、BASE、Pixiv、DMM.com、niconico、さくらインターネットおよび複数のオンラインゲーム製品も相次いで緊急メンテナンス告知を発表するか、オンラインサービスを一時的に遮断した。⁶ パッチが公開されたばかりの時点では大半のサイトが即座に全面的な更新を完了できなかったため、多くの国の公共管理部門やインターネット企業が先手を打って外部からのアクセスを遮断するという保守的な防御手段を講じる動機となったと分析されている。¹

現行のアクティブなバージョンは修正を迎えたものの、過去のバージョンの利用層は保守の苦境に陥った。¹ PHP公式チームは以前からすでに、8.1およびそれ以前のリリースコードネームに対する直接的なセキュリティ保守の提供を停止していた。¹ これら旧バージョンのシステムが保護を得ようとするならば、外部のLinuxディストリビューションベンダーやハードウェア・ソフトウェアサプライヤーが名乗り出てバックポートパッチプログラムを作成することに依存する必要がある。¹ これは、PHP 5などの古い環境に依然として依拠しているサイトがベンダーレベルでのバックポート支援を受けられない場合、公式の直接的な救済手段が存在しない無防備な状態に長期にわたって置かれることを示している。¹

全体として見れば、脆弱性の詳細な特定から全網羅的な緊急調査に至るまで、防御エコシステム全体が極めて緊迫した時間枠を経験した。¹⁴ ネット上の噂における10点満点という評価と、最終的なCVSS 9.2点という標準格付けには若干の食い違いがあったものの、認証情報なしで遠隔悪用が可能という破壊性は依然として幅広い重視を集めた。¹³ 影響を受ける配備形態の中でも特にmod_phpを使用するApacheアーキテクチャが顕著であり、運用側の各関係者は自らのサービス稼働状態に対して慎重な隔離と評価を実施しなければならない。¹ 世界中の数十万、あるいは数百万ものオンライン設備に波及したこの突発的な事態は、古いネットワークインフラがゼロデイ級の欠陥に直面した際に露呈するシステム的な脆弱さを明白に浮き彫りにした。¹³

パッチ公開のその後の段階においても、各関係者はエクスプロイトペイロードの拡散動向に引き続き厳重な注意を払う必要がある。¹³ PHP2Shellのようなエクスプロイトコードは複数のメジャーバージョンを跨いで実行できる潜在力をすでに備えているとされているため、防御期間の長期化は未修正のマシンの曝露リスクをさらに悪化させる可能性がある。³⁷ とりわけ、PHP 8.2以上の直接提供パッチの恩恵を受けられない膨大な母数にとって、サプライチェーンやディストリビューターによるバックポートのプロセスを待つことは明らかなセキュリティ上の空白期間となる。¹ 世界の大多数のサイトが潜在的に影響を受けるという現実は、技術スタックの世代交代と緊急アップグレードの体制が、現代のネットワーク管理者にとって依然として突きつけられた深刻な課題であることを示している。¹³

総括すると、CVE-2026-109618およびCVE-2026-109619が引き起こした危機は、多くの国の機関や多国籍インターネット企業による前例のない防御・遮断措置を促した。¹⁶ 数時間前倒しで公表された修正バージョンから各種サービスによる自主的な停止に至るまで、迅速な対応が被害を軽減するための最優先の選択肢となった。¹⁴ 各プラットフォームが次々と運用を再開したりパッチを適用したりする中で、旧バージョンが公式に直接修正されないことによって残されたロングテールリスクをいかに徹底的に解消するかは、依然として各関係者が回避できない問題である。¹⁶ 今回の事件はまた、ネットワーク世界の七割近くを支えるこのプログラミング言語においてコアメモリの不具合が発生した際の巨大な連鎖反応を、技術界に改めて知らしめることとなった。¹³