PHPが緊急パッチ2件を予告、深刻度9.2の脆弱性
原題: PHP warns it plans to release 2 emergency patches imminently
なぜ重要か
PHPはWeb全体の基盤言語であり、130万台規模の被害想定は過去最大級のWeb脆弱性事案になり得る。
2026年10月20日、PHP開発チームは深刻度スコア9.2の脆弱性2件に対するパッチを約12時間以内にリリースすると発表した。セキュリティ企業watchTowrはCVE-2026-109618およびCVE-2026-109619の実在を確認。推定130万台のインターネット接続ホストが影響を受ける可能性があるとされ、管理者に即座の準備を促している。
PHP開発チームは2026年10月20日、重大な脆弱性2件のパッチをリリース前に予告するという異例の措置を取った。両脆弱性の深刻度スコアはいずれも10点満点中9.2と高く、「詳細が公開されたり、実際の悪用が確認された場合は予定より早期にリリースする権利を留保する」と公式アドバイザリで述べた。
発表の背景には、未確認の情報流出がある。「PHP2Shell」と呼ばれるエクスプロイトツールがWordPress 7.1.3、MediaWiki 1.46.2、Magento 2.4.9、Drupal 11.4.10など複数のPHPベースアプリでリモートコード実行を行う様子を収めた動画が流出したとされる。セキュリティ企業watchTowrは当該CVEが実在すると確認し、2004年リリースのPHP 5以降のすべてのバージョンが対象になり得ると報告している。
Sansecの研究者はパッチ公開から15分以内に大規模攻撃が始まると予測。WebfenceとHuntressも独自に警告を発し、管理者へ準備を呼びかけた。
推奨される対策は以下の通り。組織内でPHP管理担当者を特定し、PHPで構築されたアプリの棚卸しを行い、UTC 14:00開始のメンテナンスウィンドウを設定する。加えてサイトとデータベースのバックアップを取得し、PHP.netのホームページを継続監視することが求められる。不要なシステムをパッチ適用まで一時遮断するよう勧める専門家もいる。
PHPはWordPressをはじめ多数のCMSや内部ツールを支える基盤言語であり、研究者の推計では約130万台のインターネット接続ホストが影響を受ける可能性がある。