26.10.2026
攻撃リスクに関する最新の評価
オランダ国家サイバーセキュリティセンター(NCSC-NL)は１０月２３日、PHPの重大な脆弱性「CVE-2026-109618」と「CVE-2026-109619」に関する評価を更新した。
NCSC-NLによると、これらの脆弱性を悪用するには複雑な条件が必要であり、大規模な攻撃が発生する可能性は当初の想定より低いと評価されている。また、海外で脆弱性が悪用された可能性を示す報告は１件確認されたものの、実際に攻撃が成功したかどうかは確認されていない。ただし、攻撃リスクが低く評価されたことは脆弱性の危険性がなくなったことを意味するものではないため、引き続きPHPのセキュリティアップデートを速やかに適用するよう推奨している。
新たな関連脆弱性CVE-2026-115560も公表
１０月２３日The PHP Groupは、新たに「CVE-2026-115560」に関するセキュリティ情報を公開した。
今回公表された問題はPHPのセッション処理に関するもので、特定の設定とアプリケーションの処理が組み合わさった場合にリモートコード実行(RCE)につながる可能性がある。ただし、悪用には通常とは異なる設定条件が必要となるため実際に攻撃が成立する可能性は低いとされている。The PHP Groupはこの問題について次回の通常修正リリースで対応する予定としており、暫定的な対策として影響を受ける環境では以下に設定することを推奨している。
- session.upload_progress.enabled=0
なおこの新たな問題は、１０月２１日に修正された２件の重大な脆弱性とは別のものである。
PHP8．2のサポート終了にも注意
The PHP Groupによると、PHP8.2は２０２６年１２月３１日をもって公式のセキュリティサポートが終了する予定となっている。
そのため今回公開された修正版「PHP 8.2.35」を適用した場合でも、今後のセキュリティ更新を継続して受けられるようサポート対象バージョンへの移行を計画する必要がある。
PHPを利用する企業やWebサイト運営者は、今回のセキュリティ更新だけでなく継続的なバージョン管理と脆弱性情報の確認を行うことが重要である。
参考情報