調べたいことを検索

PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行される（RCE）おそれのある重大な脆弱性2件を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めた。脆弱性はメモリ不足の処理に関するCVE-2026-109618と、リクエストをまたいで古い内部状態が残るCVE-2026-109619で、どちらもCVSS v4.0で9.2。Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象で、開発チームはmod_phpの危険が最も高いとし、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている。8.1以前は公式の更新がなく、7.4・8.0・8.1向けにはソースへの最小限の修正だけを提供した。Linuxの配布元には事前に修正が渡されている。完全な回避策はなく、更新だけが安全な選択だとしている。10月22日にはIPAとJPCERT/CCが注意喚起を出し、JVNもJVNVU#99905564を公開した。米CISAは、公表の時点で悪用を観測していないとしている。侵入が確定したという発表は、10月22日13時45分時点で見当たらない。レンタルサーバーは多くの事業者が適用の完了を知らせたが、まだ完了を知らせていない事業者もある。当サイトの結論：PHPを使うサイトは、自分で更新するのか事業者が更新するのかを確かめ、今日のうちに修正版へ上げる。レンタルサーバーでは、各社の完了のお知らせを公式サイトで確かめる。

2026年9〜10月に国内で不正アクセスによる情報漏えいの公表が相次ぎ、10月9日に内閣官房 国家サイバー統括室とIPAが、10月8日にJPCERT/CCが注意喚起を出した。IPAは原因を特定の製品の脆弱性とは断定しておらず、外部公開アプリ・サービスやアカウントの侵害が起点とみられるとしている。今週やることは、①外部公開アプリの洗い出しとログ確認（直近1か月→その後3か月）②クラウド・VPNなど外部サービスのログイン失敗・接続元・身に覚えのないアカウントの確認③保有データの再点検と最小化。異常があればセキュリティインシデントと判定し、ログを残して専門家に調査を頼み、個人情報保護委員会へ報告する。当サイトの視点＝点検でログが1か月分しか残っていないと分かったら、それ自体が直すべき結果。

オランダの非営利団体DIVD（Dutch Institute for Vulnerability Disclosure）は2026年9月24日に侵入されたことを公表した。その後のケースページでは、問い合わせ管理ソフトZammadの未知の脆弱性2件（CVE-2026-102489、CVE-2026-102490）が悪用されたと説明している。DIVDは侵入後の操作を、次の手を自分で決めて動くAIエージェントによるものと分析している。ボランティアのDIVDメールアドレスの持ち出しは確定し、連絡先も持ち出された可能性がある。CSIRTの問い合わせ管理システムからは一部の情報が持ち出され、脆弱なシステムのIPアドレスを含むやり取りが含まれ得る。米CISAは10月2日に2件をKEVに追加した。当サイトの結論：Zammadを自社運用する組織は開発元が10月15日に勧めた7.2.2への更新を進める。6.5から直ちに移行できない場合の6.5.5はCVE-2026-102489への緊急修正で、保守期間の延長ではない。DIVDとやり取りした組織は、指摘された脆弱性の修正を急ぎ、DIVDを装う連絡に注意する。