悪用報告あり2026年10月28日（水）
PHPの2件の脆弱性が悪用、稼働環境の更新と侵害調査を
公開サイト、API、社内向け管理画面、PHPを内蔵する製品を確認してください。稼働中のPHPを更新し、修正前に到達可能だったシステムを調査します。
本文
カナダ・サイバーセキュリティセンターによると、CISAは2026年10月26日、CVE-2026-109618とCVE-2026-109619をKEVに追加しました。PHPプロジェクトは10月21日に勧告を公表し、両方をCVSS v4.0で9.2と評価しました。
CVE-2026-109618では、メモリ不足時の例外処理で不正なメモリ状態が残る可能性があり、PHPはmod_phpで未認証の遠隔コード実行を実証しました。CVE-2026-109619は、続くリクエストが同じワーカーに届き、無効な状態を作成して再利用する処理が条件です。PHPはmod_phpとFPMの特定経路で遠隔コード実行を実証しました。
PHPの系列に応じて8.2.35、8.3.36、8.4.27、8.5.12、またはそれ以降のセキュリティ修正版を適用します。ワーカーを再起動し、稼働中のバージョンを確認してください。組み込みPHPは製品ベンダーの手順に従い、サポートが終了した系列は移行を計画します。
- 01
PHPサービスに到達
公開または内部のエンドポイントが影響を受ける実行環境で入力を処理します。
- 02
脆弱な経路を誘発
CVEごとにエラー処理や同じワーカーでの処理など、悪用の条件が異なります。
- 03
サービスの権限で実行
PHPワーカーから参照できるファイル、アカウント、ネットワーク、データによって影響が変わります。
対応の手順：外部との境界から内部システムまで
- 01
入口を絞りログを保全
不要な入口を閉じ、WAF、アプリ、ホスト、データベースのログを保全します。調査状況に応じて隔離します。
対応策を見る関連情報 1件
TWISA会員企業の対策
入口を絞りログを保全
不要な入口を閉じ、WAF、アプリ、ホスト、データベースのログを保全します。調査状況に応じて隔離します。
- 02
稼働中の環境を更新
委託アプリ、コンテナ、組み込み環境を含めて更新し、再起動後にバージョンを確認します。
- 03
継続的なアクセスを調査
不明なPHPファイル、タスク、外部通信、アカウントの動作、データアクセスを調べます。
対応策を見る関連情報 1件
TWISA会員企業の対策
継続的なアクセスを調査
不明なPHPファイル、タスク、外部通信、アカウントの動作、データアクセスを調べます。
- 04
再構築して再検証
侵害を確認した場合は信頼できるイメージから再構築し、権限と業務機能を検証してから接続を戻します。
対応策を見る関連情報 1件
TWISA会員企業の対策
再構築して再検証
侵害を確認した場合は信頼できるイメージから再構築し、権限と業務機能を検証してから接続を戻します。
公開・内部サービス、PHPワーカー、認証とデータ
許可された業務通信のみを通し、各層で防御を行います。
- 01
入口を絞りログを保全
公開・内部サービス、PHPワーカー、認証とデータ
対策を検証不要な入口を閉じ、WAF、アプリ、ホスト、データベースのログを保全します。調査状況に応じて隔離します。
- 02
稼働中の環境を更新
公開・内部サービス、PHPワーカー、認証とデータ
対策を検証委託アプリ、コンテナ、組み込み環境を含めて更新し、再起動後にバージョンを確認します。
- 03
継続的なアクセスを調査
公開・内部サービス、PHPワーカー、認証とデータ
対策を検証不明なPHPファイル、タスク、外部通信、アカウントの動作、データアクセスを調べます。
各層のログと通信データを集約し、監視と対応に活用します。
- 再構築して再検証侵害を確認した場合は信頼できるイメージから再構築し、権限と業務機能を検証してから接続を戻します。
テストと検証
承認を得て資産の探索、脆弱性スキャン、侵入・APIテスト、攻撃シミュレーションを行い、変更後に再テストして監視結果を実際の動作と照合します。 WAFではリクエスト、アラート、遮断、バックエンドの結果を個別に確認します。
TWISA会員のソリューション
入口を絞りログを保全
不要な入口を閉じ、WAF、アプリ、ホスト、データベースのログを保全します。調査状況に応じて隔離します。
継続的なアクセスを調査
不明なPHPファイル、タスク、外部通信、アカウントの動作、データアクセスを調べます。
再構築して再検証
侵害を確認した場合は信頼できるイメージから再構築し、権限と業務機能を検証してから接続を戻します。
情報源と関連資料
更新日：2026/10/28。製品のサポート状況と修正情報は、ベンダーの最新案内をご確認ください。