日本脆弱性総合ポータル

PHP Group：PHPに重大なコード実行の脆弱性、修正版への更新と侵害の確認を呼びかけ

重要度
攻撃は未確認
公表日
2026.10.22
原因の分類
製品・サーバーの脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. PHP 8.2〜8.5系の古い版に、重大なコード実行の脆弱性が見つかった
  2. 悪用されるとPHPの実行権限で任意のコードを動かされるおそれがある
  3. 修正版への速やかな更新と、侵害の痕跡の確認が呼びかけられた

PHP Groupは2026年10月21日、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）のアドバイザリを公表した。影響を受けるのは、PHP 8.2〜8.5系の各修正版より前のバージョンである。悪用されると任意のコードを実行されるおそれがあり、JPCERT/CCは当該製品が国内で広く利用されていることを確認している。

確認された経路・公表元の推定

  1. 2026年10月21日、PHP Groupが、任意のコードを実行されるおそれのある脆弱性のアドバイザリを公表した
  2. 2026年10月22日、JPCERT/CCが注意喚起を公開し、対象バージョンの更新と侵害調査を呼びかけた

根拠の要点

PHP Groupのアドバイザリ（2026年10月21日公表）と、JPCERT/CCの注意喚起が根拠である。原因はPHP本体の脆弱性と分類した。攻撃を受けた組織や侵害の事例は資料にない。

資料の基準時点：2026-10-22（最終更新）

当時、対策できたのか

判定保留

資料は修正版と対象バージョンを示しているが、攻撃時点で修正版が適用されていたかは書かれていない。侵害の事例も示されていない。そのため対策の欠落や発覚時の未発見を判断する根拠が不足し、判定保留とした。

公表された対策

  • PHP 8.5.12以降、8.4.27以降、8.3.36以降、8.2.35以降の修正版へ、十分なテストを行ったうえで速やかに更新する
  • 更新できない場合は、開発者が提供する緩和策を適用する。緩和策は特定の攻撃経路への対処にとどまり、更新が本来の対策である
  • PHP 8.1以前は修正版が提供されないため、サポートされているバージョンへの移行を推奨する。PHP 7.4、8.0、8.1のEOL版には最小限の緩和策が提供されている
  • PHPを使う製品やLinuxディストリビューションが提供するPHPも影響を受けるおそれがあるため、各提供元の情報も確認する
  • 過去のHTTPレスポンスに、不自然に長い、または異常な形式の値を持つPHPSESSID Cookieが設定されていないか確認する
  • 不審なmultipart/form-data形式のリクエストと、その前後のPHPメモリ上限関連のエラーやHTTP 500エラーを確認する
  • PHPのワーカープロセスが異常終了したり、頻繁に再起動したりした痕跡がないか確認する
  • 不審なプロセスの実行、外部通信、不審なファイルの作成など、他の侵害の痕跡も確認し、継続的に監視する
  • 侵害が疑われる場合は、ログなどの証拠を保全したうえで、影響範囲の調査や当該システムの隔離などを行う

この事例を理解するための動画

まだ分からないこと

  • 攻撃が実際に行われたか、被害を受けた組織があるかは資料に書かれていない
  • 攻撃手法の詳細や、どの経路で悪用されるかは資料に書かれていない。詳細は開発者の情報で確認する必要がある
  • 痕跡が確認されなくても、攻撃を受けていないと断定することはできない
  • 参考情報のタイトルに「AI」の語があるが、攻撃へのAI利用は資料で確認できない
  • 国内で影響を受ける具体的な製品名は資料に書かれていない

関連する事例

同じ原因分類の事例

注意喚起の一覧に戻る