PHP
このタグの記事 4 件
PHPの緊急更新で見落としやすい点：WebとコマンドラインのPHPは別、set -e と diff の終了コード、更新後の侵入確認
2026年10月のPHPの重大な脆弱性への対応で、当サイトの運営者が関わるサイトでは、Web用のPHPを更新しても、cronが使うコマンドライン用のPHPが古い版のままだった。更新後の確認は、Webとコマンドラインを別々に行う。シェルスクリプトで set -e を使うと、diff や grep は『差がある・一致しない』だけで終了コード1を返し、スクリプトが止まる。0・1・2を区別して受ける。更新後は全サーバーに同じ侵入確認の項目を当て、疑わしいログは、本番のファイルと配布時のコピーを比べて決着させる。
Linuxカーネル脆弱性 Fragnesia（CVE-2026-46300）｜米CISAが悪用を確認、期限は10月31日。PHPとカーネルを更新して再起動
CVE-2026-46300（通称Fragnesia）は、権限の低いローカルのユーザーがroot権限を得られるLinuxカーネルの脆弱性です（CVSS v3.1で7.8、攻撃元区分はローカル）。カーネルがネットワークの受信データの断片をほかのバッファーへ移すとき、「ファイルのメモリ上の写しと共有している」という目印が消えることがあり、IPsecのESP処理が、読み取り専用のファイルのキャッシュを上書きして復号してしまいます。カーネルの開発チームは2026年5月23日にCVEを公表し、修正は5.10.257・5.15.208・6.1.174・6.6.141・6.12.91・6.18.33・7.0.10以降に入りました。米CISAは2026年10月28日（米国時間）、悪用の証拠があるとして悪用が確認された脆弱性の一覧（KEV）に追加し、米連邦政府機関の期限を10月31日としました。CISAの説明は、PHPの脆弱性CVE-2026-109618・CVE-2026-109619と組み合わせて、PHPのウェブシェルを仕込みroot権限でコマンドを実行できる、としています。あるセキュリティ企業はこの組み合わせで25台のサーバー（大半はファイアウォール）がroot権限を奪われたと報告し、SecurityWeekも伝えていますが、当サイトは数字を独自には確認できていません。Ubuntu・Red Hat・Debianは修正版のカーネルを出していて、更新は再起動してはじめて効きます。当サイトの結論：LinuxでPHPのサイトを動かしているなら、PHPとカーネルを更新して再起動し、ウェブシェルの有無を調べる。
PHP脆弱性 CVE-2026-109618・CVE-2026-109619｜米CISAが悪用を確認（KEV）・修正と確認
PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行される（RCE）おそれのある重大な脆弱性2件を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めた。脆弱性はメモリ不足の処理に関するCVE-2026-109618と、リクエストをまたいで古い内部状態が残るCVE-2026-109619で、どちらもCVSS v4.0で9.2。Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象で、開発チームはmod_phpの危険が最も高いとし、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている。8.1以前は公式の更新がなく、7.4・8.0・8.1向けにはソースへの最小限の修正だけを提供した。Linuxの配布元には事前に修正が渡されている。完全な回避策はなく、更新だけが安全な選択だとしている。10月22日にはIPAとJPCERT/CCが注意喚起を出し、JVNもJVNVU#99905564を公開した。米CISAは公表の時点では悪用を観測していないとしていたが、10月26日に2件を「悪用が確認された脆弱性」の一覧（KEV）に加え、米国の連邦政府機関に10月29日までの対応を求めた。報道によれば、あるセキュリティ研究者がおとり用に運用する修正前のPHP（8.4.26、mod_php）のサーバーで、10月24日に遠隔からのコード実行が成功した。大手クラウド事業者は、公表の4日前の10月17日からおとり用のサーバーで悪用の試みを観測していた。おとり用のサーバー以外で侵入の被害が公表された例は、10月27日時点で当サイトが確認した範囲では見当たらない。レンタルサーバーは主な事業者の多くが適用の完了を知らせたが、KAGOYAなど一部の事業者は完了を知らせていない。10月23日、PHPの開発チームは10月21日の修正版では直っていない3件目の問題（CVE-2026-115560）を公表した。設定とアプリケーションのコードが特定の組み合わせのときだけコード実行につながるもので、開発チームは実際には起きにくいとし、次の定例リリースで修正と詳しい勧告を出す。それまでは session.upload_progress.enabled=0 を設定するよう勧めている。影響を受けるバージョンとCVSSは未公表で、悪用の報告はない。10月29日にphp.netで確認した時点でも、この問題の修正版はまだ出ていない。米CISAは10月28日、Linuxカーネルの脆弱性 CVE-2026-46300 もKEVに加え（米国の連邦政府機関の期限は10月31日）、この2件と組み合わせてPHPのウェブシェルを仕込み、root権限でコマンドを実行できると説明している。当サイトの結論：悪用が確認されたので、PHPを使うサイトは、自分で更新するのか事業者が更新するのかを確かめ、今日のうちに修正版へ上げる。10月17日以降のログで侵入の跡がないかも確かめる。レンタルサーバーでは、各社の完了のお知らせを公式サイトで確かめる。
CVE-2026-87902 — WordPress本体の認証なしファイルインクルード（条件付きRCE）の解説と対応策
WordPress本体（4.7〜7.1.1）の認証なしローカルファイルインクルード（CWE-98）。テーマとサーバー設定の条件がそろうとRCE。修正は9/22（7.1.2ほか各系列）、CISAは9/25にKEV追加。当サイトの結論＝EPSSは3%でも、KEVに載った時点で最優先。更新に加えて、PHPの register_argc_argv を無効にして、RCEに必要なサーバー側の条件もなくす。