PHPの重大脆弱性2件、パロアルトが修正版適用を呼びかけ
CVE-2026-109618とCVE-2026-109619はCVSS 4.0で9.2。遠隔コード実行につながる恐れがあり、PHPは修正版を公開した。
パロアルトネットワークスは、2026年10月22日に公開されたPHPの重大な脆弱性2件、CVE-2026-109618とCVE-2026-109619について、企業に確認と対応を呼びかけた。dailysecu.comが報じた。両脆弱性はCVSS 4.0で9.2と評価され、遠隔からのコード実行につながる可能性がある。
CVE-2026-109618は低メモリ状態でリクエスト処理の状態が異常なまま残る問題、CVE-2026-109619は解放済みメモリを再利用する use-after-free の欠陥とされる。
同社の脅威調査グループであるUnit 42は、インターネットに公開されたPHPインスタンスのうち2260万件以上が影響範囲に入る可能性があると推定した。ただし、すべてが悪用可能あるいは侵害済みという意味ではないとしている。
パロアルトネットワークスによると、 Frontier Virtual Patching 機能は正式公開前から防御を提供しており、次世代ファイアウォールとPrisma Accessでも関連する攻撃を遮断できる。PHP側は8.2.35、8.3.36、8.4.27、8.5.12の修正版を公開しており、サポート終了のPHP 8.1以前を使う企業には移行が勧められている。
同社は、オープンソースの露出状況の把握、リスクの優先付け、AI導入の保護、仮想パッチ適用、AI駆動のリアルタイム運用を含む5つの対策を推奨している。
よくある質問
修正されたPHPのバージョンは？
8.2.35、8.3.36、8.4.27、8.5.12が公開されています。
脆弱性の深刻度は？
CVE-2026-109618とCVE-2026-109619はいずれもCVSS 4.0で9.2と評価されています。
影響を受ける可能性がある範囲は？
Unit 42は、インターネットに公開されたPHPインスタンスのうち2260万件以上が影響範囲に入る可能性があると推定しています。