https://www.jpcert.or.jp/at/2026/at260033.html
引用元: JPCERTコーディネーションセンター 注意喚起
詳細、最新情報については、上記引用元を参照ください。
以下に概要を抜粋しております。
概要
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
https://www.jpcert.or.jp/at/2026/at260033.html
I. 概要
The PHP Groupは、2026年10月21日にPHPにおける複数の脆弱性
（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しまし
た。本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを
実行される可能性があります。
The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now
https://www.php.net/archive/2026.php#2026-10-21-5
JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。
本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報な
どを参考に、速やかに対策の適用および侵害有無の調査を実施してください。
I. 概要
** 更新：2026年10月26日追記 ********************************************
本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱
性の悪用を試みる通信を観測したとの報告も相次いでいます。一方、実証コード
を用いて実際に任意のコードを実行できるかどうかは、PHPのバージョンや実行
環境、メモリ配置などの条件に依存し、環境に応じた調整が必要となります。
今後も実証コードや新たな攻撃手法の公開、特定の環境を標的とした攻撃の開発
が進む可能性があるため、関連情報に注視の上、修正済みバージョンへの更新お
よび侵害有無の調査を実施することを推奨します。
また、The PHP Groupは、2026年10月23日に特定の設定とアプリケーションコー
ドの組み合わせの下で発生する脆弱性（CVE-2026-115560）を公表しました。本
脆弱性が悪用された場合、任意のコードを実行される可能性があります。ただし、
開発者は、影響を受ける構成が一般的ではないことから、通常のリリースサイク
ルで修正する方針を示しており、修正済みバージョンが提供されるまで
「IV. 緩和策」に示す設定への変更を推奨しています。
The PHP Group
Informational advisory: Session upload progress
https://www.php.net/archive/2026.php#2026-10-23-1
************************************************************************
IV. 緩和策
** 更新：2026年10月26日追記 ********************************************
The PHP Groupは、CVE-2026-115560へのアップデートリリースまで以下の緩和策
の設定を推奨しています。
- session.upload_progress.enabled=0に設定し、すべてのワーカーを再起動する
なお、本設定はCVE-2026-109619に対する緩和策としても案内されており、
すでに適用している場合は追加の対応は不要とされています。
************************************************************************
ご参考
ー
