- PHPの更新と侵害調査を並行し、利用製品・OS側の対応も確認する。
- 追加の問題は設定条件を確認し、緩和設定とワーカー再起動を扱う。
- 不審な痕跡を見つけたら証拠を保全し、影響範囲と隔離を判断する。
JPCERT/CCは2026年10月26日、AIを活用して見つかったPHPの脆弱性について注意喚起を更新した。修正版の適用に加え、侵害の有無を調べることを勧めている。国内企業では、PHPを含む製品の管理者と運用・調査の担当者が、更新状況と不審な動きを分けて確認する材料になる。[1][2]
何が起きたのか
JPCERT/CCは、修正版への更新と侵害調査を推奨した。PHPはWebサイトの処理を実行する言語であり、The PHP Groupが修正版を提供する。利用企業は、自社で導入したPHPに加え、製品やLinuxディストリビューションに含まれるPHPの情報を提供元で確認する。[1]
- PHP開発元：修正版と設定に関する助言を公開
- JPCERT/CC：国内利用者へ更新・調査を推奨
- 製品・OS提供元：組み込みPHPへの対応情報を公開
- 利用企業：対象と対策の適用状況を確認
研究を公表したWizは、AIを脆弱性の発見、攻撃の検証、修正確認に活用したと説明する。問題はPHP本体にあり、Webアプリケーションのコードが安全でも影響を受ける可能性がある。企業の確認対象を、アプリケーションと実行基盤の両方へ広げる根拠となる。[2]
なぜ今なのか
PHP開発元は10月21日に、CVE-2026-109618とCVE-2026-109619の修正版を公開した。Wizは、複数の問題を組み合わせ、実行環境に応じて調整する作業をAIが支えたと説明する。JPCERT/CCの26日の更新では、悪用を試みる通信の報告が相次いでいることが挙げられた。[1][2]
- 10月21日：PHPの重大な2件に修正版を公開
- 10月23日：追加の設定依存の問題を案内
- 10月26日：JPCERT/CCが通信の観測報告と緩和策を追記
10月23日には、追加のCVE-2026-115560に関する情報が出た。JPCERT/CCは、特定の設定とアプリケーションコードの組み合わせで発生し、開発元が通常の修正周期で対応する方針を示していると説明する。公表済みの2件の更新と追加の設定確認を、それぞれの対象条件に沿って扱うことが重要になる。[1]
日本の企業にとって何が変わるか
注意喚起が示す修正版はPHP8.5.12、8.4.27、8.3.36、8.2.35である。PHP8.1以前はサポート中の版への移行が推奨されている。PHPを含む製品やOSも影響を受ける可能性があるため、利用中の版と提供元の対策情報を照合して判断する。[1]
- 自社導入のPHP：修正版の適用とサポート状況
- 製品・OS内のPHP：提供元が出す修正と適用方法
- 追加の設定依存の問題：利用設定と緩和策の反映
- 調査対象：通信・エラー・プロセスの記録
追加の問題では、session.upload_progress.enabled=0への設定変更が案内されている。これはアップロードの進捗をセッションに記録する機能を無効にする設定である。JPCERT/CCは設定変更と全ワーカーの再起動を勧める。この設定はCVE-2026-109619の緩和策としても案内されており、適用済みの場合はその状態を確認する。[1]
- 自社のPHPと、製品・OSに含まれるPHPの提供元を確認する。[1]
- 修正済みパッケージの適用と、設定の反映を確認する。[1]
- 過去の通信・エラー・プロセスの記録を調査担当へ渡す。[1][2]
まとめ
調査の手がかりには、不自然なPHPSESSIDというCookie、異常なmultipart形式の要求とメモリ上限エラー、PHP処理プロセスの頻繁な再起動がある。Wizは、問題がアプリケーションより下の層で起こるため、アプリケーションのログに残る情報が限られると説明する。通信とプロセスの記録も合わせて確認する。[2]
- 管理担当：対象と提供元を特定し更新を進める
- 運用担当：設定反映と再起動を確認する
- 調査担当：不審な痕跡と影響範囲を調べる
- 侵害が疑われる場合：証拠保全の上で隔離などを判断する
日本企業の実務では、更新の進捗と侵害調査の結果を別々に把握する。JPCERT/CCは継続監視を求め、侵害が疑われる場合はログなどの証拠を保全した上で、影響範囲の調査やシステムの隔離を行うとしている。管理・運用・調査の担当者が、この判断材料を共有できる形に整えたい。[1]