「PHP」にあらたな脆弱性、対象環境は限定的 - 次回更新時に修正

プログラミング言語「PHP」にあらたな脆弱性が確認された。深刻な問題として大きく注目された先の2件とは異なる脆弱性で、対象となる環境は限定的であるとして、今後のアップデートで修正される見込み。

開発チームが現地時間2026年10月23日にアドバイザリを公開し、脆弱性「CVE-2026-115560」について明らかにしたもの。

「PHP」に関しては、深刻な脆弱性「CVE-2026-109618」「CVE-2026-109619」を修正するアップデートが同月21日にリリースされたが、今回確認された脆弱性はこれらとは異なる。

ファイルのアップロード状況をセッションで追跡する機能に関連した問題で、特定の設定やアプリケーションの処理が組み合わさることで、リモートからコードを実行されるおそれがあるという。

修正プログラムなどはアドバイザリの公開時点で用意されていない。開発チームでは、複数の条件が重なる必要があり、悪用できる環境は限定的として、通常のリリースサイクルで修正を行う方針。

今後提供されるアップデートによって脆弱性を修正するまで、関連する機能を無効化する緩和策を案内している。

（Security NEXT - 2026/10/26 ）ツイート