このストーリーは開発中であり、PHP の予定されている 10 月 21 日 14:00 UTC リリースの前に書かれたものです。リリースが公開されると、以下の影響を受けるバージョンと修正されたバージョンが公式アドバイザリーによって確認されます。
PHP は、セキュリティ チームが CVSS v4.0 スケールで 9.2 と評価しているが説明されていない 2 つの重大な脆弱性に対して、本日 10 月 21 日の 14:00 UTC にサイクル外のセキュリティ リリースを出荷します。
watchTowr のセキュリティ研究者らは、2 つの欠陥によりリモートでコードが実行される可能性があると述べています。サポートされている 4 つの PHP ブランチ (8.2 ～ 8.5) のみがこの修正を受け取ることができ、これまでのところ悪用は報告されていません。
事前通知はリーク後に行われた。 10 月 20 日、HN への投稿で、CVSS 10.0 と評価され、PHP 5 以降のバージョンに影響を与える 2 つの PHP リモート コード実行の欠陥が 10 月 22 日木曜日に公開される予定であると述べました。投稿者は、「『出典: 信じてください』以上の証拠はありません」と述べました。
その後、watchTowr は X に、漏洩した情報は本物であり、2 つの欠陥は禁輸措置下にあり、誰もが木曜日まで待つことになっており、今のところこれ以上共有することはできないと投稿した。
PHP はその夜、協定世界時 19 時 33 分に通知を発表し、リリースは watchTowr が示した日付の前日である水曜日に設定されました。通知では、PHPは「脆弱性の詳細が公になった場合、または積極的な悪用の証拠が世に出た場合」、より早期にリリースする可能性があると述べている。
リークには欠陥の存在、スコア、日付、および 2 つの CVE 識別子が含まれており、欠陥がどのように機能するかは記載されていませんでした。 CVSS 10.0 の数値はリーク値です。 PHP の評価は、バージョン 4.0 のスケールで 9.2 です。
研究者が使用している識別子は、 CVE-2026-109618 そして CVE-2026-109619流出した投稿にも記載されていました。 PHP の通知にはどちらの名前も記載されていません。 PHP 5 以降のすべてのバージョンが影響を受けるという主張も未確認です。この欠陥に関する watchTowr の FAQ には、範囲が「公式ベンダー アドバイザリーによって確認されていない」と記載されており、構成や機能の要件については記載されていません。
PHP には、「完全な詳細、影響を受けるバージョン、および修正されたバージョンはリリースとともに公開されます。」と記載されています。研究者たちはこのペアを php2shell と呼び始めました。名前は彼らのものであり、PHP のものではありません。
影響を受ける範囲が何であれ、PHP はサポートされている 4 つのブランチに対してのみ修正を発行し、各ブランチの変更を変更ログに記録します。バージョン 8.2 と 8.3 はセキュリティ修正のみを受け取り、8.4 と 8.5 はアクティブ サポート中です。リリースに先立ち、Alpine Linux とセキュリティ研究者の Kevin Beaumont を含む複数のトラッカーは、修正が各ブランチの次のポイント リリースである PHP 8.5.12、8.4.27、8.3.36、および 8.2.35 として出荷されることを期待していますが、PHP はその数を確認していません。
8.1、8.0、7.x、5.x などの古いものはサポートが終了しており、PHP 修正はありません。欠陥がこれらのブランチに到達した場合、それらのブランチへのインストールにはベンダー パッチが適用されなくなります。
|
支店 |
現在のリリース (9 月 24 日) |
PHPのサポート状況 |
|---|---|---|
|
8.5 |
8.5.11 |
2027 年 12 月 31 日までのアクティブ サポート |
|
8.4 |
8.4.26 |
2026 年 12 月 31 日までのアクティブ サポート |
|
8.3 |
8.3.35 |
セキュリティ修正は 2027 年 12 月 31 日までのみ |
|
8.2 |
8.2.34 |
セキュリティ修正は 2026 年 12 月 31 日までのみ |
セキュリティ会社マロリーは、10月20日、Shodan検索エンジンに対してHTTPバナーがPHPバージョン8.1以上を報告したインターネットに接続するホスト約88万4000台を数えたが、これは何らかのバージョンを報告した約150万台のホストの59％に相当した。この数には、バナー、影響を受けることが確認されていないシステムが含まれており、さらに 740,000 のホストがバージョンのない PHP を報告しています。
PHP は回避策を公開していません。リリースが完了するまで、準備は 6 つのステップに分かれます。そのほとんどは、Huntress からの迅速な対応投稿から抜粋され、CERT-EU の隔離に関するアドバイスが追加されています。
- ベンダー アプライアンス、Windows ソフトウェア、および cPanel や Plesk などのコントロール パネルにバンドルされている PHP を含む、すべての PHP インストールをインベントリします。
- 14:00 UTC にアップグレードする準備をしてください。まずインターネットに接続されたシステムにパッチを適用し、Linux ディストリビューションとホスティング プロバイダーにバックポートされたパッケージがないか確認してください。
- サポートが終了したブランチでは、可能な限り、アップグレードするか、システムをインターネットから切り離すか、VPN または Web アプリケーション ファイアウォールの内側に置きます。
- パッチを一度に適用できない場合、CERT-EUは「修正が利用可能になるまで、インターネットに接続するアプリケーションをパブリックネットワークから隔離することを検討してください」とアドバイスしている。
- PHP がどのように開始するかを見てください。 php-fpm、php-cgi、httpd、または apache2 がシェル、インタープリター、またはダウンロード ツールを起動するとアラートが表示されます。エンドポイント検出のない Linux サーバーでは、Florian Roth のプロセス ウォッチャーが、PHP プロセスが開始するすべてのプログラムをそのコマンド ラインとともにログに記録します。プログラムは開始後にのみ認識され、ロス氏の言葉を借りれば「何も妨げません」。
- 何かを見つけた場合は、サーバーを隔離し、Web サーバーと PHP ログを保存し、Web シェル、Web ルート内の新しいファイル、新しい cron ジョブ、スケジュールされたタスク、およびアカウントを探します。
ハントレス氏は、10月20日の時点でパートナー環境の欠陥の悪用は確認されておらず、概念実証の構築や再現もしておらず、公開されている悪用コードも認識していないと述べた。 watchTowr の FAQ には、10 月 21 日の時点で悪用は報告されておらず、欠陥は CISA の既知の悪用された脆弱性カタログに記載されていないと記載されています。
比較のために、Windows の CGI モードにおける PHP の欠陥である CVE-2024-4577 が 2024 年 6 月に公開されたとき、Akamai は 24 時間以内にハニーポット サーバーに対する悪用の試みを確認しました。
リリースでは、通知で保留されていた内容、つまりどのバージョンが影響を受けるか、PHP のどの部分が関与しているか、攻撃に特定の PHP 実行方法、設定、またはログインが必要かどうか、PHP 自体が欠陥をどのように説明しているかを明確にする必要があります。この記事の執筆時点では、PHP は修正をリリースしていませんでした。
