脆弱性「PHP2Shell」の悪用を確認 - 米当局が注意喚起

プログラミング言語「PHP」で判明した脆弱性「PHP2Shell」について、実際に悪用されていることが確認されているとし、米当局は注意を呼びかけた。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年10月26日、「CVE-2026-109618」「CVE-2026-109619」を「悪用が確認された脆弱性カタログ（KEV）」に登録した。

これら脆弱性は「PHP2Shell」とも呼ばれており、認証を必要とすることなくリモートからコードを実行されるおそれがある。「CVE-2026-109618」はメモリ不足時の処理、「CVE-2026-109619」は解放済みメモリに関連する内部状態の管理に起因。ウェブサイトなど、外部からのリクエストを処理するPHP環境ではとくにリスクが高く、広く注意が呼びかけられている。

PHPの開発チームは同月21日、「PHP 8.5.12」「同8.4.27」「同8.3.36」「同8.2.35」を公開し、脆弱性を修正した。サポートが終了している「PHP 7.4」「同8.0」「同8.1」に対しても、ソースコードに適用するための修正を提供。一部Linuxディストリビューションなどにおいて、バックポートも行われている。

同庁は、米行政機関におけるこれら脆弱性の対応期限を3日後の現地時間10月29日と指定。脆弱性の解消だけでなく、侵害の有無について確認することも求めている。

（Security NEXT - 2026/10/27 ）ツイート

脆弱性「PHP2Shell」の悪用を確認 - 米当局が注意喚起

関連リンク

PR

関連記事