クリティカルPHP脆弱性が政府サイトをオフラインに：緊急パッチ直前

The Hacker NewsおよびセキュリティファームSansecの報道によると、PHPの開発チームは、オンラインで詳細がリークされた1日後に、2つのクリティカルな脆弱性を修正するために、2026年10月21日UTC 14:00の定期外セキュリティリリースをスケジュール設定しました。脆弱性はCVE-2026-109618およびCVE-2026-109619として追跡され、研究者により非公式に「PHP2Shell」というニックネームが付けられました。The Hacker Newsが報告したように、PHPの独自チームはこのニックネームを採用しませんでした。

脆弱性について

Sansecの技術レポートによると、CVE-2026-109618はPHPのアップロード進捗処理におけるユースアフターフリーバグであり、PHPSESSID クッキーを通じてサーバーメモリ（パスワード、セッショントークン、TLS秘密鍵を含む）をリークすることができます。同社は2014年のHeartbleedバグと比較しています。CVE-2026-109619は、メモリ枯渇中に致命的なエラーが発生したときにトリガーされる別のユースアフターフリーで、PHPのOPcacheにおける型の混乱と組み合わされており、Sansecはリモートコード実行を可能にすると述べています。両方のバグはmultipart/form-dataリクエストを通じてアクセスされます。これはウェブページがファイルアップロードに使用する形式です。

英国のナショナルサイバーセキュリティセンター（NCSC）は10月21日のアドバイザリーで、このリスクをログインなしでPHPを実行している任意のウェブサーバー上でコマンドを実行できる攻撃者として説明し、重大と評価しました。

政府とプラットフォームがオフラインになった理由

PHPがウェブの大部分を支えているため、複数の組織はパッチを待つ代わりに公開向けサイトをシャットダウンすることを選択しました。Techzineが報告したところ、MijnOverheid、DigiD、および議会制度を含むオランダ政府のサービスが一時的にオフラインになりました。KSLが掲載したニュースワイヤーストーリーによると、オランダとフィンランドのサイバーセキュリティ機関が予防措置として政府サイトをダウンさせました。Techzineはまた、英国のNCSCとアメリカサイバーセキュリティインフラストラクチャセキュリティエージェンシー（CISA）が管理者に影響を受けるシステムにパッチを適用するか無効にするよう促すアラートを発したと報告しました。一方、WikipediaとMetaは修正されたPHPランタイムとウェブアプリケーションファイアウォールルールを適用することで実行を継続しました。

Sansecは、PHPコア開発者Gina Peter Banvardが、パッチが到着する前にサーバーをオフラインにすることを、即座に修正を適用できない組織にとって最も賢明な選択肢として説明したと報告しました。複数のオランダ組織がこのアドバイスに従いました。

Cloudflareは公式パッチがリリースされる前に悪用の試みを見始めたと述べています。KSLのレポートによると、Cloudflareの最高技術責任者は、同社が初期段階の攻撃を観察しており、新しい攻撃方法が現れるにつれて継続的に緩和措置を更新していると述べました。CloudflareはPHPの公式修正が到着するまでの一時的な応急処置として機能していると説明しました。Sansecは別途、Cloudflareが2026年10月21日UTC 07:43から攻撃を検出したと報告しており、これはPHPの予定された修正のおよそ6時間前でした。

• PHP上に構築されたコンテンツ管理およびEコマースシステムであるWordPress、Drupal、Joomla、Magento
• Sansecによって確認済み脆弱性と命名された特定バージョン：Magento 2.4.9、WordPress 7.1.2、Drupal 11.4.3、Joomla 6.1.4、MediaWiki 1.46.2、Roundcube 1.7.4、phpMyAdmin 5.2.3、Nextcloud 35.0.1、Laravel 13.11、Symfony 8.1
• NCSCアドバイザリーに従うPHPをバンドルしている共有ホスティングプラットフォームおよびコントロールパネル
• Techzineが報告したオランダ政府サービスDigiDおよびMijnOverheid

露出規模：推定値は異なります

既知のことと未知のこと

PHPのチームはPHP 8.2、8.3、8.4、8.5が公式修正を受けることを確認しました。The Hacker Newsによると、バージョン8.5.12、8.4.27、8.3.36、8.2.35として予定されています。一方、ライフエンドの分岐である8.1以降はベンダーによってパッチされません。しかし、Sansecは根本的に欠陥のあるコードがPHP 5.4.0にまで遡ると述べており、多くの古い、サポートされていないインストールが公式修正なしで脆弱である可能性が高いことを意味します。The Hacker Newsによると、10月21日のレポート時点で公開されたPoC（概念実証）エクスプロイトは利用できず、脆弱性はCISAの既知悪用済み脆弱性カタログにはまだ追加されていませんでした。しかし、Cloudflareの後続ステートメントは攻撃の試みがすでに進行中であったことを示しました。

背景：脆弱性がどのように発見されたか

Sansecのタイムラインは最初のバグを「Calif」というハンドルを使用している研究者がOpenAIと協力して2026年8月1日に開始した研究に遡っています。これは8月11日にPHPのセキュリティチームに報告されました。2番目の関連報告はWiz研究チームから来ました。Sansecによって命名された彼ら：Sagi Tzadik、Shir Tamari、Nir Ohfeld、Tomer Schwartz。Sansecは両方の研究チームがAIモデルがPHPバージョン全体でエクスプロイトを見つけ適応させるのを加速させたと述べています。1人の研究員はおよそ1週間で動作するエクスプロイトに到達したと報告されています。調整された刻まれた開示の詳細は10月20日に公開され、PHPはアナウンスを早め、10月21日のパッチリリースを設定するようになりました。