CVE-2026-109618とCVE-2026-109619: PHPの重大なRCE脆弱性が緊急セキュリティリリースを引き起こす

PHP の管理者は、メンテナが2つの重大な脆弱性に対処する予期しないリリースを発表した後、緊急のセキュリティ更新に直面しています。 セキュリティ研究者により CVE-2026-109618 と CVE-2026-109619 として追跡されている欠陥は、それぞれ PHP セキュリティチームから CVSS v4.0 スコア 9.2 を受け取っています。 watchTowr の研究者は、どちらもリモートコード実行の脆弱性として説明しています。

緊急リリースは 2026年10月21日 14:00 UTC に予定されています。情報が公開前に漏洩したと報告された後、PHP は公開日を前倒ししました。執筆時点で、PHP は脆弱なコンポーネント、悪用の要件、影響を受けるリリース、または技術的な根本原因を開示しておらず、それらの詳細はセキュリティ更新と共に提供されると述べています。

研究者たちは非公式にこの脆弱性の組み合わせを「PHP2Shell」と名付けましたが、この名前は PHP プロジェクトからのものではありません。漏洩された初期の情報は、これらの脆弱性が PHP 5 以降のリリースに影響を与える可能性があるとし、CVSS 10.0 スコアを付与していました。 しかし、PHP の公式評価は 9.2 であり、主張されたバージョン範囲はまだ公式なベンダーアドバイザリによって確認されていません。

それでも、潜在的な影響はかなり大きいです。PHP は、膨大な数のウェブサイト、ウェブアプリケーション、コンテンツ管理システム、eコマースプラットフォーム、API、ホスティングパネル、カスタム企業サービスを駆動しています。リモートコード実行が一般に配布されている構成にわたって確認された場合、成功した悪用は、公開されたウェブアプリケーションからサーバーレベルの妥協への直接の経路を攻撃者に提供する可能性があります。

CVE-2026-109618 の検出機会を模索するセキュリティチームは、悪用の特定のシグネチャが利用できない間、行動ベースの監視を優先するべきです。疑わしい活動には、PHP またはウェブサーバープロセスが予期せずシェル、インタープリター、コマンドラインユーティリティ、またはダウンロードツールを起動することが含まれます。

SOC Prime の顧客は、AI ネイティブの検出インテリジェンスプラットフォームを活用して、脆弱性の悪用と関連するポストコンプロマイズ行動に対する継続的に更新される検出コンテンツにアクセスできます。検出ルールは、複数の SIEM、EDR、データレイク環境全体で適用でき、MITRE ATT&CK® フレームワークに合わせることができます。

クリック 検出を探索 新たな脆弱性に関連する SOC コンテンツにアクセスするために。CVE-2026-109619 と関連する悪用試行を検出するには、行動分析をウェブサーバー、エンドポイント、およびネットワークテレメトリと組み合わせるべきです。

セキュリティチームは、Prime Architect を使用して新たな脆弱性インテリジェンスを Sigma ルールおよびカスタムハンティングクエリに変換し、検出ロジックを検証し、潜在的なアタックフローを視覚化し、サポートされたセキュリティプラットフォーム全体で検出コンテンツを迅速に翻訳することもできます。

販売に問い合わせ

CVE-2026-109618 と CVE-2026-109619 の分析

2026年10月20日、PHP セキュリティチームは、翌日に例外的なセキュリティリリースを通じて 2 つの重大な脆弱性に対処することを予告しました。どちらもCVSS v4.0評価で9.2を受け、管理者は即時のアップグレードを準備するよう促されました。また、技術情報が公になったり、アクティブな悪用が検出された場合は、修正を早めにリリースするオプションも確保していました。

この発表は、2つのエンバーゴされた脆弱性に関する情報漏洩に続いて行われました。漏洩した資料は CVE-2026-109618 と CVE-2026-109619 を特定し、どちらもリモートコード実行欠陥として特徴付けました。watchTowr はその後 BleepingComputer に対して脆弱性が実在することを確認し、その研究者はそのうちの1つを成功裏に再現したと述べました。

しかし、漏洩情報と PHP が公式に確認した内容の間には重要な違いがあります。

PHP は、漏洩で流布されている CVSS 10.0 の評価ではなく、両方の脆弱性に CVSS v4.0 スコア 9.2 を割り当てました。また、どのブランチが脆弱であるか、悪用に特定の PHP デプロイメントモデルや構成が必要か、認証が必要かについても確認していません。

CVE-2026-109618 が PHP バージョン 5、6、7、および 8 に影響を与えるという主張は、研究者と漏洩情報によるものであり、PHP の公式アドバイザリによるものではありません。watchTowr 自体も、この範囲がベンダーによってまだ確認されていないことを注記しています。

したがって、CVE-2026-109618 の慎重な分析には、確認済みの事実を予備研究から分ける必要があります。現在確認されているのは、PHP が 2 つの脆弱性を重大視し、どちらも 9.2 で評価し、そのリスクが緊急の予期しないセキュリティリリースを正当化すると考えていることです。研究者はこれらの欠陥を RCE 脆弱性として特徴づけていますが、その根本的なメカニズムは封印されたままです。

この区別は、レガシー PHP 環境を評価する際にも重要です。PHP プロジェクトは現在、サポートされているブランチ 8.2 から 8.5 のみを対象にセキュリティ更新を提供しています。PHP 8.2 と 8.3 はセキュリティ修正を受け取り、8.4 と 8.5 はまだアクティブサポートを受けています。PHP 8.1、8.0、PHP 7.x、および PHP 5.x を含む古いブランチはサービス終了となっており、最終的に脆弱であることが判明してもアップストリームパッチを受け取ることはありません。

これは、古いアプリケーションを運用し続ける組織にとって、特に困難な修正シナリオを生む可能性があります。インターネットに接続されたレガシー PHP システムは、報告された広範なバージョン露出が確認された場合、重大な懸念事項となるでしょう。

執筆時点で、公に利用可能な CVE-2026-109618 の PoC はありません。watchTowr は、問題を成功裏に再現したと考えていますが、セキュリティパッチが利用可能になるまで意図的に技術情報を保留しています。Huntress もまだ脆弱性を再現しておらず、公開されている悪用コードについては認識していませんでした。

2026年10月21日時点でどちらのレポートにおける研究者も観測されたアクティブな悪用はありません。これらの脆弱性は、The Hacker News の報道当時、CISA の Known Exploited Vulnerabilities カタログにも掲載されていませんでした。

したがって、CVE-2026-109619 の IOC はまだ公表されていません。悪用に直接関連する悪意のある IP アドレス、ドメイン、ペイロードのハッシュ、悪用リクエストパターン、またはその他のキャンペーン固有の指標は現在確認されていません。

悪用の詳細が利用可能になるまで、防御者はむしろ PHP サーバー侵害の一般的な兆候を監視するべきです。価値の高い行動には、php-fpm、php-cgi、httpd、または apache2 がシェル、スクリプティングエンジン、ダウンロードユーティリティ、またはその他の予期しない実行可能ファイルを起動することが含まれます。新しいウェブシェル、ウェブルートの不明な変更、cron ジョブ、スケジュールされたタスク、新たに作成されたアカウント、および異常なアウトバウンド接続も調査を引き起こすべきです。

CVE-2026-109619 の正確な詳細は、PHP がセキュリティリリースを発表する際に、脆弱な PHP コンポーネント、攻撃の前提条件、影響を受けるブランチ、構成依存性、および修正されたバージョンを明らかにすることが期待されています。

CVE-2026-109618 および CVE-2026-109619 の緩和策

PHP 管理者はまず、環境内のすべての PHP デプロイメントの正確なインベントリを作成すべきです。これには、通常の Linux および Windows ウェブサーバーだけでなく、アプライアンスに組み込まれた PHP ランタイム、サードパーティアプリケーション、ホスティングプラットフォーム、および cPanel や Plesk などの管理製品も含まれます。

CVE-2026-109619 の即時緩和のために、組織は修正されたリリースが利用可能になり次第、PHP の緊急セキュリティ更新を展開する準備をするべきです。インターネットに接続されたアプリケーションは通常、悪用の最大の機会を提供するため、最優先されるべきです。

ディストリビューション提供の PHP パッケージを使用している組織は、アップストリームの PHP バージョン番号だけで露出が決まると仮定せず、Linux ベンダーまたはホスティングプロバイダーにバックポートされたセキュリティアップデートがあるか確認するべきです。

レガシー PHP インストールには特別な注意が必要です。公式のパッチが利用できないサービス終了 PHP リリースで脆弱なアプリケーションが稼働している場合、組織はサポートされているブランチへの移行を優先するべきです。即時移行が不可能な場合には、外部アクセスを制限する、適切なネットワークコントロールの背後にアプリケーションを配置する、またはシステムを一時的に隔離することで露出を削減するべきです。

The Hacker News によって参照された CERT-EU ガイダンスは、即時に修正を適用できない場合、インターネットに接続されたアプリケーションを公衆ネットワークから隔離することを検討することを推奨しています。

防御者はさらに PHP 実行の周辺での監視を強化するべきです。PHP ワーカーやウェブサーバープロセスがシェル、PowerShell、Bash、Python、Perl、curl、wget など、アプリケーションには予期されないユーティリティを起動する際に警告を出すべきです。

悪用が疑われる場合は、影響を受けたサーバーを隔離し、修復前に証拠を保存するべきです。関連するアーティファクトには以下が含まれます：

• ウェブサーバーのアクセスおよびエラーログ
• PHP アプリケーションおよびランタイムログ
• エンドポイントおよびプロセステレメトリ
• 最近作成または変更されたファイル
• ウェブルートコンテンツ
• cron ジョブとスケジュールされたタスク
• 新たに作成されたアカウントまたは SSH キー
• アウトバウンドネットワーク接続
• 認証および管理活動

セキュリティチームは、技術的な指標がリリースされた後も追跡調査を行うべきです。悪用に特化した HTTP リクエストパターンやペイロード特性が公開された場合、パッチ適用以前に発生した妥協試みを識別するための履歴ウェブおよびプロキシテレメトリを特定することができます。

組織は、パッチ適用の恒久的な代替として WAF 依存することを避けるべきです。技術的な根本原因が開示されるまで、その悪用メカニズムを知らずに、両方の脆弱性を確実にブロックできる汎用 WAF ルールはないと確認されています。

SOC Prime の AI ネイティブ検出インテリジェンスプラットフォームを活用することにより、セキュリティチームはこれらの PHP 脆弱性に関する新たなインテリジェンスが出現するに従って、検出ポスチャーを継続的に強化することができます。

免責事項: 検出コンテンツは、すべての CVE に対して利用可能ではない場合があります。SOC Prime プラットフォームで現在のカバレッジを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されているため、再確認してください。