PHPの脆弱性、10月22日の警告が示す修正と侵入調査の違い
· BehindLines 編集部
ニュージーランドの国家サイバーセキュリティセンターは10月22日、PHPの二つの重大な脆弱性に関する警告を更新した。同センターは、実際に悪用されているとの報告を把握していると説明している。PHPプロジェクトが修正版を公開したのは、その前日の10月21日だ。更新版が提供されることと、各サーバーに導入されることは、別々の段階になる。
PHPは、ウェブサイトやウェブアプリケーションの動作に使われる。CVE-2026-109618とCVE-2026-109619という識別番号が付いた脆弱性は、影響を受けるサーバー上で、認証なしに遠隔からコードを実行できる可能性がある。ただし、その可能性だけで、特定のサイトが侵害されたと証明されるわけではない。ニュージーランドの警告は、世界全体の被害件数を示していない。
公表された修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35だ。PHPプロジェクトは、Linuxディストリビューションや長期保守サービスを利用する場合、対応するパッケージについて提供元に確認するよう案内している。PHP Foundationも、両方の問題がエンジン内部の動作に関わり、変更が難しい仕組みを修正する必要があったと説明している。
警告の対象は、ウェブ担当チームが直接管理するサイトだけではない。同センターは10月22日午前10時20分の追記で、ファイアウォールやその他の機器にPHPが組み込まれている場合などには、個別の評価と提供元に応じた修正が必要だとした。主なサーバーを更新しても、影響を受けるすべての構成要素が対処済みだとは判断できない。
影響を受ける可能性がある組織に対し、同センターは修正版の適用と、不正アクセスがなかったかの調査を求めている。この二つの作業は、別の問いに対応する。利用可能な脆弱性を塞ぐことと、すでに悪用されたかを確かめることだ。確認した資料からは、攻撃の実行者を特定することも、その規模を測ることもできない。
AIの支援を受けて執筆し、内容を確認しました。