PHPの保守担当者は10月21日、認証なしでサーバーのメモリーを露出させたり、リモートコード実行を可能にしたりする、重大な脆弱性の2つのグループが研究者によって公表されたことを受け、緊急のセキュリティ更新をリリースした。問題は特定のコンテンツ管理システムではなくPHPエンジンに存在し、この言語で構築された幅広いウェブアプリケーションに関係する。
Wiz Researchによると、これらの不具合は、PHPがリクエストの処理中に致命的な状態、特にメモリー不足による障害に対処する際に発生する。脆弱な構成では、異常終了によって内部のグローバル状態が破損したまま残ることがある。その後、同じワーカープロセスが処理するリクエストがその古い状態に作用し、メモリー情報の漏えいやメモリー破損につながる経路が生じうる。公表された事例はCVE-2026-109618とCVE-2026-109619に分類され、CVSS 4.0に基づく深刻度は最大9.2に達する。
研究チームはWordPress、Drupal、Joomlaの導入環境に対して、認証前のコード実行を実証した。これらのアプリケーションは代表的な標的であり、欠陥の発生源ではない。Wizは、攻撃がアプリケーションコードの下で動作するランタイムに作用するため、最小限のPHPアプリケーションでも影響を受ける可能性があると説明した。別の実証では、他のリクエストに由来する認証情報、認証トークン、APIキー、証明書などを含む可能性のあるプロセスメモリーが抽出された。
影響を受けるかどうかは、PHPのバージョン、サーバーインターフェース、設定、アプリケーションの動作によって異なる。研究者によると、少なくとも1つの脆弱性はPHP 5.4にまでさかのぼり、10年以上にわたる開発期間中のリリースが影響を受ける可能性がある。確実に動作する攻撃手法を構築するには、複数の動作を組み合わせ、メモリー配置の違いに適応する必要があった。そのため、ある導入環境で機能する手法を別の環境に適用するには、変更が必要になる場合がある。
Wizは、最先端のAIモデルがこの適応作業を大幅に加速させ、長年存在していたメモリー安全性上の弱点を、実用的な一連の攻撃手法へと結び付けるのに役立ったと述べた。攻撃の複雑さは、悪用をある程度阻む要因と見なされることが多かったため、この主張は運用面で重要だ。繰り返し行うデバッグや、メモリー配置に応じた調整を支援するツールによって、技術的な詳細の公開後に攻撃者が必要とする時間や専門的な作業が減る可能性がある。
パッチは、実証された特定の攻撃を単に阻止するのではなく、エンジンレベルで誤った状態管理の動作に対処する。このため管理者は、アプリケーションの更新だけに頼らず、利用している保守対象ブランチの修正版PHPを導入すべきだ。公式の案内では、更新が唯一の完全な対処方法だとしている。コンテンツ配信ネットワークやウェブアプリケーションファイアウォールによる対策は、一部の攻撃経路を減らせる可能性があるものの、脆弱な構成をすべてカバーすることはできない。
担当チームはまず、通常のウェブサイト、API、管理ツール、見落とされがちな内部サービスも含め、PHPがウェブリクエストを処理している箇所をすべて特定する必要がある。コンテナーイメージやサーバーレス環境向けのビルド成果物は、修正済みパッケージを使って再構築する必要があり、管理下のシステム群では更新をまたいで稼働し続けたワーカープロセスがないか確認すべきだ。サポートが終了したPHPのブランチについては、修正のバックポートを待つのではなく、保守されているリリースへの移行が必要になる。
メモリー情報の漏えいによって再利用可能なシークレットが露出するおそれがあるため、組織は不審なリクエストパターンがないか監視情報も見直し、漏えいが疑われる場合には重要な認証情報を更新できるよう備えるべきだ。ただし、当面の優先事項は明確であり、PHPを利用する環境全体に10月21日の修正を適用することである。
