PHPに悪用確認の脆弱性2件、CISAが連邦機関に10月29日までの修正を命令

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、PHPの脆弱性2件を通称「PHP2Shell」として、実際の攻撃で悪用が確認された脆弱性のリスト「Known Exploited Vulnerabilities（KEV）カタログ」に追加した。対象はCVE-2026-109618とCVE-2026-109619。CISAは米連邦の民間機関に対し、影響を受けるシステムを10月29日までに修正するよう命じた。TechCrunchが報じた。

PHP開発チームは10月21日、これらの脆弱性を修正するセキュリティアップデートを公開した。PHPプロジェクトはバージョン8.5.12、8.4.27、8.3.36、8.2.35への更新を推奨している。

修正の適用にあたり、一部の組織や大企業はウェブサイトを一時的に停止した。

2024年の監査では未修正

2024年のセキュリティ監査では関連する脆弱性が指摘されていたが、悪用が実証されていなかったため修正されていなかった。

今回の脆弱性のうちリモートコード実行につながる問題は、セキュリティ企業Kalifの研究者が発見した。