SK Shieldus、PHPの脆弱性2件を分析 修正版への更新を勧告

韓国のセキュリティ企業SK Shieldusが、PHPのメモリ管理に起因する脆弱性CVE-2026-109618とCVE-2026-109619を分析したセキュリティ報告書を公開し、PHPの更新と全PHPワーカーの再起動を勧告した。bloter.netが伝えた。報告書によると、この2件は遠隔からのコード実行を可能にする。

2件の脆弱性は、PHPのメモリ管理でメモリ不足（OOM）が発生した際にリクエストが異常終了する過程に起因する。CVE-2026-109619は、同じPHPワーカー上で前のリクエストのメモリ状態が後続のリクエストに再利用される際のuse-after-free状態を悪用する。既定で有効なファイルアップロードの進捗表示機能「session.upload_progress」が攻撃経路として使われるという。

SK ShieldusはPHP 8.4.26とApacheウェブサーバーを使った検証環境で脆弱性を再現し、認証なしでウェブサーバーの権限によるリバースシェルを取得した。CVE-2026-109618は、メモリ不足の後に初期化に失敗したリクエストが終了する際に発生し、任意のコード実行につながる。

影響を受けるのはPHP 8.2.34以下、8.3.35以下、8.4.26以下、8.5.11以下、およびサポート終了となったPHP 8.1以前だ。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12以降となる。

公開後の経過

2件の脆弱性は2026年10月に公表された。W3Techsによると、2026年10月23日時点でサーバー側言語を特定できるウェブサイトの69.3%がPHPを使用していた。Kasperskyは2026年11月3日、Censysの調査を引用し、オンラインで検出された脆弱なPHPサービス4600万件のうち2900万件が修正版公開後も脆弱なバージョンのまま稼働していたと分析を公表している。