JPCERT/CCは2026年10月26日、PHPの脆弱性CVE-2026-109618とCVE-2026-109619に関する注意喚起を更新した。注意喚起は10月22日に公開したもので、今回は概要と緩和策に情報を追記している。悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性がある。
追記によると、この脆弱性を悪用できると主張する実証コードが多数公開されている。悪用を試みる通信を観測したという報告も相次いでいる。JPCERT/CCは、PHPが国内で広く利用されていることを確認したうえで、修正版への更新と侵害有無の調査を速やかに行うよう求めている。
実証コードが多数公開、悪用を試みる通信も観測
The PHP Groupは10月21日、この2件の脆弱性に関するアドバイザリを公表した。JPCERT/CCは翌22日に注意喚起を出し、26日の更新で攻撃の動向を追記した。更新では、実証コードの公開と、悪用を試みる通信の観測が相次いでいる状況が示されている。
一方で、実証コードで実際に任意のコードを実行できるかどうかは条件に左右される。PHPのバージョンや実行環境、メモリ配置などに依存し、環境に応じた調整が必要になるという。ただしJPCERT/CCは、今後も実証コードや新たな攻撃手法の公開が進む可能性があると指摘する。特定の環境を狙った攻撃が開発される可能性もあるとして、関連情報を注視するよう呼びかけている。
対象はPHP 8.2〜8.5系、8.1以前は修正版の提供なし
対象となるのは、PHP 8.5.12より前の8.5系と、8.4.27より前の8.4系である。PHP 8.3.36より前の8.3系と、8.2.35より前の8.2系も含まれる。The PHP Groupは、十分なテストをしたうえで修正済みバージョンをできるだけ早く適用するよう強く推奨している。
PHP 8.1以前には、アップデート版が提供されない。そのため、サポートされているバージョンへのアップグレードが推奨されている。ただし開発者は、脆弱性の深刻さを考慮し、PHP 7.4・8.0・8.1向けに最小限の緩和策を提供している。
また、PHPを使う製品やLinuxディストリビューションが提供するPHPも、影響を受ける可能性がある。こうした環境では、PHP本体の情報だけでは判断できない。利用している製品やOSの提供元が公開する情報もあわせて確認する必要がある。
新たな脆弱性CVE-2026-115560と緩和策
今回の更新では、The PHP Groupが10月23日に公表した別の脆弱性CVE-2026-115560にも触れている。特定の設定とアプリケーションコードの組み合わせで発生するもので、悪用されると任意のコードを実行される可能性がある。開発者は、影響を受ける構成が一般的ではないとして、通常のリリースサイクルで修正する方針を示した。
修正版が出るまでの緩和策として、The PHP Groupは設定の変更を推奨している。具体的には、session.upload_progress.enabledを0に設定し、すべてのワーカーを再起動する。この設定はCVE-2026-109619の緩和策としても案内されており、適用済みであれば追加の対応は不要とされている。
なお、CVE-2026-109618と109619向けの緩和策は、特定の攻撃経路への対処にとどまる。The PHP Groupは、アップデートだけが根本的な対策だとしている。緩和策は、更新までのつなぎと位置付けておく必要がある。
侵害調査で確認すべき3つのポイント
JPCERT/CCは、脆弱性の発見者らが公開した情報をもとに、侵害調査の観点を示している。1つ目は、過去のHTTPレスポンスに、不自然に長い値や異常な形式の値を持つPHPSESSID Cookieが設定されていないかである。2つ目は、不審なmultipart/form-data形式のリクエストがないかと、その前後にメモリ上限関連のエラーやHTTP 500エラーが出ていないかだ。
3つ目は、PHPのワーカープロセスが予期せず異常終了したり、頻繁に再起動したりした痕跡がないかである。ただし、この脆弱性には複数の悪用経路があり、単一の検知ルールですべての攻撃を検出できるとは限らない。攻撃手法やログの記録状況によっては、痕跡が残らない場合もある。
そのためJPCERT/CCは、痕跡が見つからなくても攻撃を受けていないとは断定できないとしている。不審なプロセスの実行や外部通信、不審なファイルの作成など、ほかの痕跡も確認するよう求めた。侵害が疑われる場合は、ログなどの証拠を保全したうえで、影響範囲の調査や対象システムの隔離を行うよう呼びかけている。
企業への示唆
すでに修正版を適用した企業も、それで対応を終えないことが大切だ。修正版の公開から適用までの間に攻撃を受けていた可能性は残る。JPCERT/CCが示す3つの観点で、ログやプロセスの記録をさかのぼって確認しておきたい。
あわせて、session.upload_progress.enabledの設定値も確認しておきたい。CVE-2026-115560の修正版はまだ提供されていないためだ。PHP 8.1以前を使い続けているシステムや、製品に組み込まれたPHPについては、提供元の情報を確かめたうえで更新計画を立てる必要がある。自社だけで影響範囲を調べきれない場合は、外部のセキュリティ診断サービスを活用する方法もある。
ITトレンドでセキュリティ診断サービスについてチェック！[【ランキング】セキュリティ診断サービスおすすめ22選を比較！料金相場や選び方も解説]
PHPの脆弱性はこちらもチェック！[PHPに認証不要でリモートコード実行の脆弱性2件、修正版を公開——PHP-FPMやmod_phpなどWeb向け環境が対象、IPAは事前の棚卸しを要請]
まとめ
JPCERT/CCは、PHPのリモートコード実行の脆弱性CVE-2026-109618・109619に関する注意喚起を10月26日に更新した。実証コードの公開と悪用を試みる通信の観測が相次いでおり、修正版への更新と侵害有無の調査を求めている。新たに公表されたCVE-2026-115560については、修正版が出るまで設定変更による緩和策が推奨されている。
企業は、PHP 8.2〜8.5系を修正済みバージョンへ更新するとともに、侵害の痕跡を点検しておきたい。痕跡が見つからなくても安全とは言い切れないため、継続的な監視も欠かせない。
