PHP、評価9.2の重大な脆弱性2件の緊急修正を予定

PHPのセキュリティチームは2026年10月21日14:00 UTCに、同チームが重大と評価する2件の脆弱性について、定例外のセキュリティリリースを公開します。研究者によると、これらの不具合はリモートコード実行を可能にするもので、詳細は1日早く流出しました。PHPを運用している人は、リリースが出た瞬間にパッチを適用できるよう備えておくべきです。

PHPは、WordPressやDrupal、そしてWebのサーバー側コードの大部分を支える言語です。定例外リリースとは、プロジェクトの通常のリリース日程から外れて出されるリリースのことで、PHPはこれを緊急の修正のために取っておいています。

PHPセキュリティチームが発表した内容

2026年10月20日に掲載されたPHP.netの告知は、意図的に多くを語っていません。告知は2件の脆弱性を挙げ、それぞれを、0から10で深刻度を示す標準的な尺度であるCVSS v4.0で9.2と評価しています。CVE番号も、説明も、バージョン番号も示していません。告知によると、影響を受けるバージョンと修正版は「リリースと同時に公開されます」。

チームは、さらに早く動く余地も残しました。詳細が公になった場合や攻撃が始まった場合には、前倒しでリリースする可能性があるとしています。告知には「すべてのPHPユーザーは、リリースが公開され次第すぐにアップグレードできるよう、今から準備しておくことをお勧めします」とあります。

長年続くLinuxとオープンソースのニュースサイトであるLWNは、同じ日にこの警告を伝えました。PHPサイトを運営するすべての人に、更新に備えるよう呼びかけました。

流出した情報と、まだ確認されていないこと

The Hacker Newsによると、研究者はこの2件を「php2shell」と呼んでいます。これはPHP自身が使った名前ではありません。セキュリティ企業のwatchTowrは、これらの脆弱性によってリモートコード実行が可能になると述べています。つまり、攻撃者がサーバー上でコマンドを実行できるおそれがあるということです。watchTowrは2026年10月20日、これらに関する流出情報は本物だとXで述べました。さらに、これらの脆弱性はエンバーゴ中だったと付け加えました。エンバーゴとは、修正が出るまで詳細を非公開にしておく期間のことです。

その流出情報は、テック系フォーラムのHacker Newsへの投稿でした。投稿は、公表が10月22日（木）に予定されていたと述べ、PHP 5以降のすべてのバージョンが影響を受けると主張しました。この範囲は確認されていません。watchTowrのFAQの言葉を借りれば、それは「ベンダーの公式アドバイザリーでは確認されていません」。

研究者はこれらの脆弱性に、CVE-2026-109618とCVE-2026-109619という2つのIDを付けています。PHPの告知はどちらの名前も挙げていません。

J4ck3LSyNという名前を使う研究者がjackalsyn.comで自ら公開した解説記事は、これらのIDをsession.upload_progressのuse-after-free（解放後使用）の不具合と結び付けています。use-after-freeは、プログラムがすでに解放したメモリを使い続けるときに起こります。この機能自体は、ユーザーのセッション内でファイルアップロードの進行状況を追跡するものです。

この解説記事は、自らの発見をPHPよりはるかに低く評価しています。ある経路は5.3（Medium）、別の経路は0.0です。不具合を再現できたのは、preforkモードのmod_phpを使うApache上だけで、コード実行は示していません。この記事が、PHPが9.2と評価したのと同じ不具合を扱っていると裏付けるものは何もありません。

修正が提供されるPHPのバージョン

The Hacker Newsによると、修正が提供されるのはサポート中のブランチである8.2から8.5のみです。Alpine Linuxとセキュリティ研究者のKevin Beaumont氏は予想されるバージョン番号を追跡していますが、PHPはそれを確認していません。

ブランチ	現行リリース	サポート状況	予想される修正版（未確認）
PHP 8.5	8.5.11	2027年12月31日までアクティブサポート	8.5.12
PHP 8.4	8.4.26	2026年12月31日までアクティブサポート	8.4.27
PHP 8.3	8.3.35	2027年12月31日までセキュリティ修正のみ	8.3.36
PHP 8.2	8.2.34	2026年12月31日までセキュリティ修正のみ	8.2.35
PHP 8.1以前	n/a	サポート終了	PHPからの修正なし

古いブランチはWebの大きな部分を占めています。The Hacker Newsが引用した、Malloryによる2026年10月20日のShodanでの集計では、PHP 8.1以前を報告するインターネットに公開されたホストが約88万4,000台見つかりました。これは、何らかのバージョンを報告する約150万台のホストの59%にあたります。さらに約74万台が、バージョンを示さずにPHPを報告しています。これらはバナーに基づく集計で、脆弱性が確認されたシステムの数ではありません。

今のところ、攻撃は報告されていません。セキュリティ企業のHuntressは、2026年10月20日時点で悪用を確認しておらず、公開された攻撃コードも把握していませんでした。これらの脆弱性は、CISAの既知の悪用された脆弱性のリストに載っていません。ただし、その猶予は短いかもしれません。以前のPHPの脆弱性であるCVE-2024-4577が2024年6月に公表された際には、Akamaiが24時間以内に攻撃の試みを確認しました。

開発者にとっての意味

まず、PHPのコピーをすべて洗い出してください。HuntressとCERT-EUはどちらも、コンテナイメージ、アプライアンス、ホスティングパネルの中のPHPなど、同梱されたコピーも含めた棚卸しを勧めています。攻撃を受けるのは、忘れられていたサーバーです。

14:00 UTCにリリースが出たらすぐに、インターネットに公開されたシステムから先にパッチを適用してください。このリリースはその後、PHP 8.5.12、8.4.27、8.3.36、8.2.35として公開されました。LinuxディストリビューションやコンテナのベースイメージからPHPをインストールしている場合は、その提供元が再ビルドしたパッケージをいつ公開するかを確認してください。php.netより遅れることがあります。

サポートが終了したブランチへの対応を今から計画してください。PHP 8.1以前には、プロジェクトからの修正は提供されません。CERT-EUは「修正が利用可能になるまで、インターネットに公開されたアプリケーションを公衆ネットワークから隔離することを検討してください」と述べています。ほかの選択肢は、アップグレード、VPN、またはサイトの前段に置くWebアプリケーションファイアウォールです。

非公式の回避策は慎重に扱ってください。jackalsyn.comの解説記事は、session.upload_progress.enabled = Offの設定を提案しています。PHPは回避策を公開しておらず、この記事はPHPが修正している不具合を扱っていない可能性があります。アップロードの進行状況バーを表示しない限り、ほとんどのアプリはこの設定を必要としません。そのため、無効にするのは手軽な応急処置であって、修正ではありません。

今週は侵害の兆候に注意してください。The Hacker Newsは、PHPのプロセスがシェルやダウンロードツールを起動したときにアラートを出すよう求める助言を伝えています。PHPアプリケーションにとって慌ただしい1か月です。Drupalは2026年10月14日に、Field UIの重大な脆弱性の修正をリリースしました。