PHPに新たなRCE脆弱性、KISAが緊急回避策を勧告

PHPグループが新たなリモートコード実行（RCE）脆弱性を公表し、韓国インターネット振興院（KISA）が2026年10月24日、公式パッチが未提供の状況を受けて緊急の一時回避策を勧告した。脆弱性はCVE-2026-115560として追跡されている。KISAの勧告はbloter.netが伝えている。

この脆弱性はPHPのセッション処理に起因し、攻撃者がサーバー上で任意のコマンドやプログラムを実行できる可能性がある。影響を受けるのは、実行時にセッションデータの保存方法を変更し、かつファイルアップロード進捗機能を有効にしているサーバーに限られる。

PHPグループは影響を受けるバージョンや修正済みバージョンを明らかにしておらず、次回の定例アップデートで公式パッチを提供する予定だという。

KISAが示した回避策

KISAは管理者に対し、php.iniまたはPHP-FPMの設定でsession.upload_progress.enabledを0に設定し、PHPのワーカープロセスを再起動するよう助言した。同じ回避策はCVE-2026-109619の緩和策にも含まれていたため、当時この機能を無効化したサーバーでは追加の対応は必要ない。

PHPグループは2026年10月23日、CVE-2026-115560に対する一時的な対応方針を発表していた。別の脆弱性CVE-2026-109619は2026年10月21日に公表されている。