CVE-2026-115560: 新たな未パッチのPHP RCEリスク、即時対策が必要

PHPは、CVE-2026-115560を開示しました。これは、PHPセッション構成とランタイム動作の異常な組み合わせを使用するWebアプリケーションに影響を与える新しいリモートコード実行リスクです。この問題は、PHPがCVE-2026-109618およびCVE-2026-109619という重要なPHP2Shell脆弱性の緊急修正をリリースしたわずか2日後の2026年10月23日に開示されました。

これらの以前の脆弱性とは異なり、CVE-2026-115560はPHPの別の緊急リリースを引き起こしていません。PHPセキュリティチームは、通常のデプロイメントでは脆弱な構成が起こりにくいと考えており、この欠陥には次の通常のバグ修正サイクルで対応する予定です。それまでの間、管理者は脆弱な構成が存在する可能性がある場所でPHPのセッションアップロード進捗機能を無効にすることを勧められています。

新しい脆弱性は、PHP 8.5.12、8.4.27、8.3.36、または8.2.35をインストールしても not CVE-2026-115560を修正しないため重要です。完全に更新されたシステムでも、そのアプリケーションが特定の構成要件を満たしている場合、脆弱なままです。

CVE-2026-115560の検出機会を求めるセキュリティチームは、PHPセッション処理、異常なマルチパートアップロード、セッションシリアライズ動作の予期しない変更、PHPまたはWebサーバーワーカーによって生成された不審な子プロセスへの可視性を優先する必要があります。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、SIEM、EDR、データレイク環境全体での新たな脆弱性の悪用や関連する被害後の行動に対するカバレッジを強化することをセキュリティチームに可能にします。

クリック 検出を探る 関連する検出コンテンツとハンティングロジックにアクセスするため。CVE-2026-115560を検出するには、守備者はPHP構成の評価を、ベンダーパッチが利用可能になるまで、Web、エンドポイント、アプリケーション、リバースプロキシのテレメトリと組み合わせるべきです。

セキュリティ実務者は、Prime Architectを活用して、新たに開示された脆弱性インテリジェンスをSigmaルールやハンティングクエリに変換し、検出ロジックの検証し、サポートされているセキュリティプラットフォーム全体で関連する検出を翻訳することもできます。

営業に連絡

CVE-2026-115560の分析

PHPは2026年10月23日に、セッションシリアライズとセッションアップロード進捗機能との間の潜在的に悪用可能な相互作用を説明する情報アドバイザリを公開しました。

PHPセキュリティチームによれば、この問題が発生するにはアプリケーションがいくつかの特定の条件を満たす必要があります。

• session.serialize_handlerは初期設定でphp_binaryまたはphp_serializeに設定されていなければなりません。
• その後、アプリケーションコードはini_set()を使用してハンドラをランタイムでphpに変更する必要があります。
• この変更はsession_start()が呼び出される前に発生しなければなりません。
• session.upload_progress.enabledは有効なままでなければなりません。

ランタイムでシリアル化ハンドラを切り替えないアプリケーションは、この特定のパスを介して露出することはなく、セッションアップロードの進捗を続けて使用することができます。PHPは脆弱な組み合わせを稀なものとして説明しています。

この区別により、CVE-2026-109618およびCVE-2026-109619と比較して攻撃表面を大幅に狭めることになります。以前のPHP2Shell脆弱性は広範囲のWebサービングPHPインストールに影響を与え、緊急のアップデートが必要でした。CVE-2026-115560は、アプリケーション固有の構成とコード動作に依存しています。

CVE-2026-115560の詳細は意図的に限定されています。PHPは、完全な技術的な根本原因、正確な脆弱バージョン範囲、CVSSスコア、または最終的にRCE条件を生成する特定の内部メモリまたはセッション状態遷移をまだ公開していません。ベンダーはこれらの詳細を次の通常のリリースで含める予定です。

開示された前提条件に基づくと、脆弱性は、PHPのアップロード進捗メカニズムがアクティブな状態でリクエスト処理中にアプリケーションがシリアライズ形式を変更した際にセッションデータの不一致を処理することに関連しているようです。ただし、PHPが正式に開示した以上の具体的な悪用プリミティブは推測すべきではありません。

CVE-2026-115560は、2026年10月21日のPHP2Shell修正を含む完全にパッチが当てられたPHPリリースを実行しているアプリケーションなど、脆弱な構成パターンを満たすアプリケーションに影響を与えます。PHPは、どのPHPブランチまたは過去のリリースに基底の欠陥が含まれているかをまだ明らかにしていません。

これは、管理者がインストールされたPHPバージョンから露出を決定すべきでないことを意味します。代わりに、アプリケーションとサーバーの構成を評価する必要があります。

有用な初歩的な手順としては、セッションアップロード進捗が有効かどうかを確認することです。

session.upload_progress.enabled=1

管理者は、特にphp_binaryまたはphp_serializeからphpへの遷移を含むini_set()を呼ぶアプリケーションコードを特定する必要があります。

この新しい欠陥は、軽減策が重なるにもかかわらず、CVE-2026-109619とは別個です。セッションアップロード進捗を無効にすることは、元のPHP2Shell脆弱性の1つに対するリスク削減手段として既に推奨されていました。2026年10月21日の緊急アップデート後にその設定を無効にした組織は、PHPによれば新しく開示されたパスから既に保護されています。

現在、PHPまたは提供された2つのレポートによって文書化された公的なCVE-2026-115560のPoCはありません。セキュリティチームは、公開アドバイザリだけで脆弱性を再現するのに十分な技術情報は開示していません。

これは、さまざまな概念実証の試みや攻撃活動が開示の周りで現れた以前のPHP2Shellの欠陥とは顕著に異なります。これらの攻撃は新しい脆弱性に起因しているべきではありません。

2026年10月26日現在、CVE-2026-115560の悪用は報告されていません。Hacker Newsは、CVED-2026-109618およびCVE-2026-109619をターゲットにしていると観察された活動から、この新しい脆弱性と継続するPHP2Shellスキャンと悪用の試みを特に区別しています。

その結果、CVE-2026-115560のIOC、例えば悪意のあるIPアドレス、ドメイン、ハッシュ、ペイロード、または確定された悪用リクエストパターンは現在利用できません。

より多くの技術的な詳細が浮かび上がるまで、防御者は以下を含む行動および構成ベースのインジケーターに焦点を合わせるべきです。

• PHPアプリケーションが実行中にsession.serialize_handlerを変更する
• カスタムセッションロジックを持つアプリケーションでセッションアップロード進捗が有効なままである
• PHPセッションを処理するアプリケーションへの予期しないマルチパートPOSTトラフィック
• PHP-FPM、php-cgi、Apache、その他のPHPサービングプロセスがシェルやスクリプトインタープリタを生成する
• PHPワーカーからの予期しないアウトバウンドネットワーク接続
• ウェブルーツまたは書き込み可能なアプリケーションディレクトリ内の新しく作成されたファイル
• セッションファイルまたはセッションストレージへの異常な変更
• PHPサービスアカウントによって作成されたWebシェル、スケジュールされたジョブ、または不正な永続化

アプリケーション開発者もカスタムセッション処理ロジックを確認する必要があります。フレームワーク拡張、古いアプリケーション、内部プラットフォーム、またはカスタム認証システムは、直線的なPHPデプロイメントよりもシリアライズ設定を動的に変更する可能性が高いです。

開示は、既に活発なPHP攻撃活動の時期に行われました。元のPHP2Shell脆弱性は10月21日にパッチが当てられ、その後複数のセキュリティ企業が広範なプロービングおよび悪用試行を観察しました。ただし、PHPとセキュリティ研究者は、これらのキャンペーンをCVE-2026-115560に結びつけていません。

CVE-2026-115560の軽減

PHPは現在、一つの直接的な防御策を推奨しています。

session.upload_progress.enabled=0

この設定は、php.ini、PHP-FPMプールの設定、Apacheの設定、またはリクエスト処理の前に効果を及ぼす他のサーバーレベルのメカニズムを通じて適用すべきです。

CVE-2026-109619軽減策の際に機能を無効化し、それを無効のままにしている組織は、この脆弱性に対して追加の構成変更は必要ありません。

設定を変更した後、既存のプロセスが更新された構成を読み込むように、PHPワーカーおよび関連するウェブサービスを再起動してください。環境によっては、PHP-FPMプール、Apacheワーカー、コンテナ、または他のPHPアプリケーションランタイムプロセスの再起動が含まれるかもしれません。

管理者は、全ての場所でphp.iniの中央値が適用されていることを仮定するのではなく、PHP構成の点検を通じて有効設定を確認することができます。PHPデプロイメントは頻繁に次のような設定を組み合わせます。

• グローバルphp.ini
• conf.dファイル
• PHP-FPMプール設定
• Apacheディレクティブ
• コンテナ固有の設定
• アプリケーションレベルの.user.ini
• ランタイムのini_set()呼び出し

最も重要な露出評価はアプリケーション固有です。特に以下のパターンを含むランタイムでのセッションシリアライザの変更に関する検索アプリケーションソースコードは以下の通りです。

ini_set(‘session.serialize_handler’, ‘php’)

session_start()の前にphp_binaryまたはphp_serializeからphpにシリアライザを変更しないアプリケーションは、PHPが開示した脆弱なシナリオに適合しません。

組織は、それにもかかわらず、2026年10月21日のPHP2Shellセキュリティアップデートを維持すべきです。アップロード進捗を無効にすることは新たに特定されたパスに対処しますが、CVE-2026-109618およびCVE-2026-109619の緊急修正を置き換えるものではありません。

サポートされるインストールは少なくとも次を維持する必要があります。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

これらのリリースは以前のPHP2Shell問題を修正しますが、新たに開示された脆弱性については修正しません。

セキュリティチームもサポートされていないPHPインストールのインベントリを作成するべきです。PHP 8.1以前のリリースはもはや定期的な上流のセキュリティ更新を受けておらず、最終的なCVEアドバイザリが公開された場合に完全な露出を判断するのが難しい場合があります。

セッションアップロード進捗を無効にすることが運用上不可能な場合、組織は最初にアプリケーションが実際にシリアライゼーションハンドラを動的に変更するかどうかを判断するべきです。PHPは、ランタイムでこのスイッチを実行しないアプリケーションは、セッションアップロード進捗を有効のままにしておけると明言しています。

追加の対策として、防御者は以下を行うことができます。

• 機密性の高いPHPアプリケーションへの外部アクセスを制限する。
• 不要なファイルアップロードエンドポイントに関連する制限付きリバースプロキシルールを適用する。
• PHPセッションに関連するマルチパートリクエストを監視する。
• 異常なPHPワーカーチャイルドプロセスに対してアラートを発する。
• PHP-FPMおよびWebサーバーアカウントに最小特権を適用する。
• 可能であれば、PHPサービスが実行可能なディレクトリに書き込むことを防ぐ。
• Webアプリケーションワークロードからの外向き接続を制限する。
• ウェブルーツおよび一時ディレクトリにおいて不正なファイル作成を監視する。

また、AWSは、PHPアプリケーションWAFルールが、PHPセッション識別子とPHP_SESSION_UPLOAD_PROGRESSフィールドを組み合わせたPOST要求をブロックできると指摘しています。これは、構成変更を即座に行えない環境に追加の防御層を提供するものです。この種のフィルタリングは、防御の深層と考えるべきであり、PHPの推奨する構成変更の代替とはすべきではありません。

PHPが恒久的な修正を含む通常のバグ修正の更新をリリースしたら、組織は一時的な緩和策がすでに有効である場合でも、迅速にそれを適用すべきです。

パッチ適用後、管理者はアプリケーション要件に基づいてセッションアップロード進捗を再度有効にするかどうかを判断できます。

悪用が疑われる場合は、影響を受けたアプリケーションサーバーを隔離し、Web、PHP、リバースプロキシ、エンドポイント、およびネットワークテレメトリを保存してください。ウェブルーツや新しく作成されたファイルを確認し、PHP子プロセスを検査し、コンプロマイズされたサービスにアクセス可能な認証情報を特定します。

成功した悪用がPHPワーカーの特権でコード実行につながる可能性があるため、コンプロマイズが除外できない場合は、関連するアプリケーション認証情報、データベースシークレット、APIトークン、クラウドキー、およびその他の機密情報を回転させるべきです。

免責事項： すべてのCVEに対して検出コンテンツが利用可能とは限りません。SOC Primeプラットフォームで現在のカバレッジを確認してください。関連する検出がまだ利用できない場合は、新しい脅威インテリジェンスおよび検出コンテンツが継続的に追加されるため、再度確認してください。