米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに

米サイバーセキュリティインフラセキュリティ庁（CISA）は、プログラミング言語「PHP」に深刻な脆弱性2件が見つかった問題で、修正プログラムをただちに適用するよう強く勧告した。更新が困難な場合は、システムをオフラインにすることを推奨している。

現地時間2026年10月21日に注意喚起を発表したもの。「php2shell」とも呼ばれる脆弱性「CVE-2026-109618」「CVE-2026-109619」が公表されたことを受け、「PHP」でウェブからのリクエストを処理するすべての環境が影響を受けると指摘。認証を必要とすることなく、リモートから任意のコードが実行されるおそれがあると警鐘を鳴らした。

同庁がアドバイザリを作成した時点で、これら脆弱性の悪用は観測されていないとしているが、組織内における「PHP」の利用状況を洗い出してリスト化し、ただちに修正版となる「PHP 8.5.12」「同8.4.27」「同8.3.36」「同8.2.35」へ更新するよう求めた。

とくにインターネットに接続されたシステムへの対応を優先し、「PHP」が組み込まれたシステムなどにも注意を払うよう呼びかけている。

ウェブアプリケーションファイアウォール（WAF）については、ある程度の保護を提供する可能性もあるとしつつも、修正版へアップデートするか、修正パッチを適用するまでは、「PHP」が稼働するシステムをオフラインで運用する必要があると指摘した。

攻撃と見られる挙動への監視も推奨しており、PHPのワーカープロセスからシェルが起動されたり、ツールがダウンロードされたりする挙動に注意するよう呼びかけている。

（Security NEXT - 2026/10/22 ）ツイート

米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに

関連リンク

PR

関連記事