-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 各位 JPCERT-AT-2026-0033 JPCERT/CC 2026-10-22（公開） 2026-10-29（更新） <<< JPCERT/CC Alert 2026-10-22 >>> PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 https://www.jpcert.or.jp/at/2026/at260033.html I. 概要 The PHP Groupは、2026年10月21日にPHPにおける複数の脆弱性 （CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しまし た。本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを 実行される可能性があります。 The PHP Group Security advisory: Critical remote code execution vulnerabilities, update now https://www.php.net/archive/2026.php#2026-10-21-5 JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。 本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報な どを参考に、速やかに対策の適用および侵害有無の調査を実施してください。 本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱 性の悪用を試みる通信を観測したとの報告も相次いでいます。一方、実証コード を用いて実際に任意のコードを実行できるかどうかは、PHPのバージョンや実行 環境、メモリ配置などの条件に依存し、環境に応じた調整が必要となります。 今後も実証コードや新たな攻撃手法の公開、特定の環境を標的とした攻撃の開発 が進む可能性があるため、関連情報に注視の上、修正済みバージョンへの更新お よび侵害有無の調査を実施することを推奨します。 また、The PHP Groupは、2026年10月23日に特定の設定とアプリケーションコー ドの組み合わせの下で発生する脆弱性（CVE-2026-115560）を公表しました。本 脆弱性が悪用された場合、任意のコードを実行される可能性があります。ただし、 開発者は、影響を受ける構成が一般的ではないことから、通常のリリースサイク ルで修正する方針を示しており、修正済みバージョンが提供されるまで 「IV. 緩和策」に示す設定への変更を推奨しています。 The PHP Group Informational advisory: Session upload progress https://www.php.net/archive/2026.php#2026-10-23-1 ** 更新：2026年10月29日追記 ******************************************** 2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイア ウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認した と報告されています。報告によると、攻撃者が対象製品を解析してバージョン 別に本脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイ トコードを開発していたとのことです。また、侵害した機器を足掛かりとして、 内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたと しています。 Dream Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers また、一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セ キュリティアドバイザリを更新しています。今後も、PHPを組み込んださまざ まな製品を標的とする実証コードの開発や、本脆弱性を悪用した攻撃が拡大す る可能性があります。PHPを組み込んだ製品の管理者は、使用している製品が 本脆弱性の影響を受けるか、当該製品を標的とする攻撃や侵害事例が報告され ていないかを確認し、必要な対策および侵害調査を速やかに実施することを推 奨します。 ************************************************************************ II. 対象 対象となる製品およびバージョンは次のとおりです。 - PHP 8.5.12より前のPHP8.5系バージョン - PHP 8.4.27より前のPHP8.4系バージョン - PHP 8.3.36より前のPHP8.3系バージョン - PHP 8.2.35より前のPHP8.2系バージョン また、PHP 8.1以前のバージョンは、アップデートバージョンが提供されない ためサポートされているバージョンへのアップグレードを推奨しています。 ただし、開発者は脆弱性の深刻さを考慮しPHP 7.4、PHP 8.0、PHP 8.1のEOL バージョンに対する最小限の緩和策を提供しています。詳細は、開発者が提 供する最新の情報を確認してください。 なお、PHPを使用する製品やLinuxディストリビューションが提供するPHPも、 本脆弱性の影響を受ける可能性があります。本脆弱性に関する対応は利用し ている製品やOSの提供元が公開する情報もあわせて確認してください。 III. 対策 The PHP Groupは、影響を受ける利用者に対して、修正済みバージョンを可能 な限り速やかに適用するよう強く推奨しています。十分なテストを実施の上、 速やかに修正済みバージョンを適用してください。詳細は、開発者が提供する 最新の情報を確認してください。 IV. 緩和策 The PHP Groupは、CVE-2026-109618、CVE-2026-109619に対するアップデート ができない利用者に対して緩和策を提供しています。ただし、本緩和策は特定 の攻撃経路への対処にとどまり、アップデートのみが本脆弱性に対する対策と しています。詳細は、開発者が提供する最新の情報を確認してください。 The PHP Groupは、CVE-2026-115560へのアップデートリリースまで以下の緩和策 の設定を推奨しています。 - session.upload_progress.enabled=0に設定し、すべてのワーカーを再起動する なお、本設定はCVE-2026-109619に対する緩和策としても案内されており、 すでに適用している場合は追加の対応は不要とされています。 V. 侵害調査 本脆弱性の発見者らが公開している情報によると、本脆弱性を悪用した攻撃を 受けた可能性があるかを調査するため、次のような点を確認することが推奨さ れています。 - 過去のHTTPレスポンスにおいて、不自然に長い、または異常な形式の値を含むPHPSESSID Cookieが設定されていないか。 - 不審なmultipart/form-data形式のHTTPリクエストが送信されていないか。また、その前後にPHPのメモリ上限に関連するエラーやHTTP 500エラーが発生していないか。 - PHPのワーカープロセスが予期せず異常終了したり、頻繁に再起動したりした痕跡がないか。 なお、本脆弱性には複数の悪用経路が存在するため、単一の検知ルールですべ ての攻撃を検出できるとは限りません。また、攻撃手法やログの記録状況など によっては、攻撃の痕跡が残らない場合があります。そのため、上述の痕跡が 確認されない場合でも、本脆弱性を悪用した攻撃を受けていないと断定するこ とはできません。 修正済みバージョンへの更新を速やかに実施するとともに、不審なプロセスの 実行や外部通信、不審なファイルの作成など、侵害を示す他の痕跡についても 確認し、継続的な監視を実施してください。 侵害が疑われる場合は、関連するログなどの証拠を保全した上で、影響範囲の 調査や当該システムの隔離など、必要な対応を実施してください。 PHP2Shell https://www.php2shell.com/ Wiz PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet https://www.wiz.io/blog/php2shell-php-rce VI. 参考情報 GitHub php / php-src RCE via OOM corruption https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w GitHub php / php-src RCE via stale global state https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp ** 更新：2026年10月29日追記 ******************************************** GitHub NCSC-NL / php2shell php2shell vulnerabilities (CVE-2026-109618, CVE-2026-109619) https://github.com/NCSC-NL/php2shell ※ オランダの国家サイバーセキュリティセンター（NCSC-NL）が公開する、本脆弱性の影響を受ける可能性がある製品の一覧や対策情報などをまとめたリポジトリー ************************************************************************ 今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで ご連絡ください。 ________ 改訂履歴 2026-10-22 公開 2026-10-22 「V. 侵害調査」の一部の表現を修正 2026-10-26 「I. 概要」「IV. 緩和策」に情報を追記 2026-10-29 「I. 概要」「VI. 参考情報」に情報を追記 ====================================================================== 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） サイバーセキュリティコーディネーショングループ Email：ew-info@jpcert.or.jp -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJq4uV4AAoJEKUOCs1Y8SQy/RAP/Rt9ElAjO3o9UtXCXPaVgHJX iD2Ofaw5LICl1OKquFxLwRG5ioF2x168llDQcoAU2LyKi1eZ1Poh3gXeyjS9bQyu gOLOgrCW57lA555EYQaYcLgiz0ECj9hIt1f9gywsRYffL4bTQzokQxCYi0RoBZNc vQo8M2G8VjhgShUS+XKgY2XIF+55oarKyqEaBSWb2DfXepc4teEgIulud7xPUUpx Ung+dPxcS7GdOeinxm0cC9/pSbSaAd7/s6CRI90cdf2e9NDqcTKvyQ5R9aom+nh1 gSyrEZH2l34M4UsgmM6n80k/2ONbtSZ5mqho+VbMxSsThUOhkABdKB2uNgwd0FKt g70GwvEMKB+P8rzv9pjZcx74y4Z+SSXEU9eefg9j+zaHH1jurkF2yZS91njpHtff XdFwky/tVSnUBPYG7QmB0B7nqtV0okln6XHdrwpVCJOv6t1pklMSuubJhz6j9gOC xcjQGt3B96yJNWQreu8QWSFb4wGf5/v6p9IZwnB6sYyiL0CVD+ZWZzofYvymFOsd sdrvkhj3xKkg0TxAOvfSRmf76cXZ52OuJ9SYrO1AwbMFrG2jj+0URXjSC6mfphAG bjKpWCNWnto7r/12NaQpMKV1+6tPhBCwA44JrkZLiKwigWxEpJ8XaWfZZK1Iux5k jpTHCvBPkJ9WELf7x144 =R6I6 -----END PGP SIGNATURE-----