要点
10月21日、PHP開発チームは2つの重大な脆弱性、CVE-2026-109618およびCVE-2026-109619に対処するための緊急セキュリティアップデートをリリースしました。両方の欠陥はCVSS v4.0の深刻度スコアで9.2を記録しており、影響を受けるサーバー上で認証なしのリモートコード実行を許す可能性があります。この問題は、メモリ破損およびメモリ解放後の内部状態の残留に関連しています。
この脆弱性は広範囲にわたる予防措置を引き起こし、ヨーロッパ、日本、米国の政府機関や民間機関がウェブサイトをオフラインにしました。日本では、セガ、カプコン、バンダイナムコ、Cygamesなどの主要なゲーム会社が緊急メンテナンスを開始しました。その他、ニコニコ、4chan、およびさまざまなコミュニティサイトも影響を受けています。
セキュリティ企業のSansecは、パッチリリースから15分以内に大規模な攻撃が発生する可能性があると警告しました。CloudflareのCTOであるデーン・クネヒト氏は、初期の悪意のある活動を観測したことを確認し、ファイアウォールの調整は一時的な保護を提供するものの、公式のPHPアップデートをインストールする必要性に代わるものではないと指摘しました。
PHPはこれらのリスクを軽減するために、バージョン8.5.12、8.4.27、8.3.36、および8.2.35をリリースしました。専門家は、PHPがWordPressを含むサーバーサイド言語を使用するウェブサイトの約75%を支えているため、潜在的な影響は甚大であると強調しています。管理者は直ちにアップデートを行うよう促されていますが、共有ホスティングを利用している場合は、プロバイダーが必要な環境パッチを適用するのを待つ必要があるかもしれません。
