PHPに3件のRCE脆弱性、韓国当局が更新呼びかけ
科学技術情報通信部とKISAがPHPのセキュリティFAQを公開し、10月に確認された3件の脆弱性への対応と侵害痕跡の確認を求めた。
韓国の科学技術情報通信部と韓国インターネット振興院（KISA）は、PHPを利用するウェブサイト運営者に対し、システムの点検と更新を求める「PHP2Shell」セキュリティFAQを公開した。PHPのリモートコード実行（RCE）脆弱性3件の確認を受けた措置で、デジタルトゥデイ（digitaltoday.co.kr）が報じた。
3件の脆弱性はいずれも、ログインせずにサーバー上で悪意あるコマンドを実行できる恐れがあるもの。CVE-2026-109618とCVE-2026-109619の2件は10月21日に公開され、当局は直ちに更新するよう勧告した。CVE-2026-115560は10月24日に公開され、修正プログラムが提供されるまでは「session.upload_progress.enabled=0」の設定とPHPプロセスの再起動が必要だとしている。
KISAは安全なPHPのバージョンとして8.5.12、8.4.27、8.3.36、8.2.35以降を挙げている。
運営者には、10月20日以降のサーバーアクセスログとファイル変更の確認、データベースのパスワード、管理者アカウントのパスワード、外部サービス連携キーの交換も求めている。侵害が疑われるサーバーは、メモリ上の証拠を保全するため直ちに停止しないよう注意を促した。
インシデントの届け出は電話118番、またはKISAのポータル「Bohonara」から受け付ける。なお、PHP 8.2のセキュリティサポートは2026年12月31日に終了し、PHP 8.1以前はすでにサポート対象外となっている。
よくある質問
安全なPHPのバージョンは？
KISAは8.5.12、8.4.27、8.3.36、8.2.35以降を安全なバージョンとして挙げています。
侵害が疑われる場合、サーバーを止めるべき？
メモリ上の証拠を保全するため、直ちに停止しないよう案内されています。
インシデントはどこに報告する？
電話118番、またはKISAのポータル「Bohonara」から報告できます。