PHP脆弱性CVE-2026-115560、未修正のまま緩和策公開

PHPセキュリティチームは、修正パッチが未提供のリモートコード実行脆弱性CVE-2026-115560について、緩和策を公開した。

この脆弱性は、session.serialize_handlerがphp_binaryまたはphp_serializeに設定され、実行時にini_set()でphpに切り替えられたうえで、session upload progressが有効な場合にのみ悪用可能とされる。PHPチームは完全なアドバイザリを次回リリース時に公開するとしている。パッチ提供までの間、session.upload_progress.enabled=0を設定するよう推奨している。

一方、PHPセキュリティチームは水曜日にPHP2Shellの脆弱性（CVE-2026-109618およびCVE-2026-109619）を修正した。Amazon Threat Intelligenceの研究者によると、攻撃者は修正パッチ公開の4日前からこれらの脆弱性を標的にしていた。

複数のサイバーセキュリティ企業が公開前の段階で悪用の試みを検知した。DataminrのTRACEチームは木曜日の報告で、活動はスキャン、フィンガープリンティング、動作しないエクスプロイトに限られ、侵害の確認はないと述べた。

背景

PHPはオープンソースのWeb開発言語で、インターネット上のほぼ70%のWebサイトで使用されている。VirusTotalの推計では、510万以上のPHPホストがオンラインに露出し、約380万が少なくとも1つのポートを攻撃に開放している。PHPセキュリティチームは水曜日、PHP2Shellの脆弱性を修正した。修正の前日には、管理者にアップデートの準備を促していた。PHP2Shellの一部の概念実証コードは修正前に公開されたが、PHPセキュリティチームは機能するものはなかったとしている。CVE IDや緩和策の詳細は公開前に流出していた。本記事はbleepingcomputer.comの報道に基づく。