N環球 
「PHP2Shell」: PHP は、認証されていないリモート コードの実行を可能にする 2 つの重大な CVSS-9.2 の欠陥に対する緊急パッチを提供します
PHP は 10 月 21 日に、カリフォルニア州 Wiz と OpenAI の研究者によって発見された、総称して PHP2Shell (CVE-2026-109618、CVE-2026-109619) と呼ばれる 2 つの重大な欠陥を修正する緊急アップデートをリリースしました。組織的開示に先立って詳細が漏洩し、Cloudflareはパッチが配布される前に実際の攻撃を観察しました。 Web リクエストを処理するすべての PHP インストールが影響を受けます。
なぜそれが重要なのか
これは、ここ数年で最も深刻な Web 脆弱性の 1 つです。 PHP は世界の Web サイト (WordPress、Drupal、Joomla) の大部分を支えていますが、今回の欠陥は言語エンジン自体にあり、完璧に書かれたサイトであっても保護はありません。攻撃者にはアカウントは必要ありません。単一のリクエストでサーバー上でコードが実行される可能性があります。
これはまた、セキュリティ研究における AI の二重の役割をこれまでで最も鮮明に示したものでもある。ウィズ氏は、欠陥は数十年にわたって潜んでいたが、悪用可能性を証明するには「人間の研究者が実際に達成できる限界にある」連鎖が必要だったと述べた。フロンティア AI モデルはその障壁を大幅に軽減し、長年の欠陥を有効なエクスプロイトに変えました。
完全なレポート
PHP のセキュリティ チームは 10 月 21 日に、CVE-2026-109618 と CVE-2026-109619 を修正する緊急アップデートをリリースしました。どちらも CVSS v4.0 9.2 と評価され、総称して PHP2Shell と呼ばれています。どちらもリクエストが異常終了したときのメモリ状態の破損が原因であり、認証されていない攻撃者が悪用してリモートでコードを実行する可能性があります。
PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed など、Web リクエストを処理するすべての PHP インストールが影響を受けます。チームは、mod_php のリスクが最も高く、アプリケーションコードが実行される前に実証済みのエクスプロイトがトリガーされると述べています。 1 つの欠陥により、攻撃者が他のリクエストのパスワード、トークン、API キーを保持するワーカー メモリを読み取ることさえ可能になります。
この欠陥は、カリフォルニア州ウィズ、OpenAI (Patch the Planet プログラムのパートナー)、および Quarkslab の研究者によって発見されました。技術的な詳細は、計画されていた協調的開示に先立って10月20日に漏洩し、PHPは1日早くリリースされることになった。 Cloudflareは、パッチが配布される前に顧客に対する攻撃トラフィックを観察し、10月21日にWAFルールを有効化したと述べた。オランダと日本のいくつかのサイト（オランダのDigiDサービスと下院ウェブサイトを含む）が予防措置としてオフラインになった。
管理者は、ただちに PHP 8.5.12、8.4.27、8.3.36、または 8.2.35 に更新することをお勧めします。 PHP 7 以前は公式アップデートを受信しなくなりました。
💬 Comments
No comments yet. Be the first!