「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱

「PHP」で判明した深刻な脆弱性2件をめぐり、PHP Foundationは発見から修正に至る経緯を明らかにした。一部の問題は2024年に把握していたが、リソース不足から対応が長期化。関係者間で調整のうえ情報を公開する予定だったが、公開前に情報が漏洩するなど混乱も生じたという。

2026年10月21日、リモートより認証なしにコードを実行されるおそれがある「CVE-2026-109618」「CVE-2026-109619」を解消するアップデート「PHP 8.5.12」「同8.4.27」「同8.3.36」「同8.2.35」をリリース。「PHP」を使用している場合は、今すぐアップデートすることが不可欠であるとして対応を呼びかけている。

あわせて今回の修正に至った経緯や、情報公開時に生じた混乱などについても説明した。

今回判明した問題は、ほぼすべてのリクエストで利用されるメモリ管理とエラー処理に関係。影響が広範囲に及ぶ深刻な脆弱性であることにくわえ、関係者間の調整やパフォーマンスへの影響など課題が重なり、難しい対応を迫られた。

「CVE-2026-109618」の兆候については、2024年に数年ぶりに実施した外部監査で指摘された別の問題を修正する過程で把握していたという。当時から悪用の可能性が想定されていたものの、攻撃経路は判明しておらず、より内容が具体化していた別の問題への対応が優先された。

（Security NEXT - 2026/10/22 ）ツイート

「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱

関連リンク

PR

関連記事