PHPの2件の脆弱性で国際的な警戒、韓国が更新呼びかけ

広く使われるウェブソフトの2つの弱点に緊急修正

韓国インターネット振興院（KISA）は2026年10月21日、ログインページやショッピングサービス、掲示板の稼働に使われるソフトウェアで2件の脆弱性が確認されたとして、ウェブサイト運営者にPHPの更新を呼びかけた。報告されたリスクには、攻撃者がログインせずにサーバー上でコードを実行できる可能性が含まれる。

KISAは脆弱性を、例外的な状況への不適切な処理に関するCVE-2026-109618と、解放後のメモリー使用に関するCVE-2026-109619と特定した。更新が必要な基準バージョンは、PHPの4つのリリース系列でそれぞれ8.2.35、8.3.36、8.4.27、8.5.12となっている。

韓国の科学技術情報通信部とKISAは10月21日夜、国家サイバーセキュリティーネットワークに参加する企業や機関にもセキュリティー対策を要請した。政府当局は10月22日にこの働きかけについて説明した。小規模事業者のパッチ適用を支援する緊急対応も検討されていた。

PHP2Shellと総称される今回の脆弱性を受け、国際的な対応が広がった。オランダやフィンランドの一部政府機関は予防措置としてウェブサイトを一時停止したと報じられたほか、欧州、日本、オーストラリアのサイバーセキュリティー当局が更新を呼びかけた。米当局も、直ちにパッチを適用できない場合は影響を受けるシステムをオフラインにするよう勧告したと報じられた。

どのPHPバージョンが対象か

KISAの勧告では、影響を受けるPHPの系列ごとに異なる最低バージョンが示されている。系列とはリリース群のことだ。例えばPHP 8.3を使うウェブサイトは、同系列の修正版、または適切な新しいサポート対象バージョンに更新する必要がある。

• PHP 8.2：8.2.35より前のバージョンを更新。
• PHP 8.3：8.3.36より前のバージョンを更新。
• PHP 8.4：8.4.27より前のバージョンを更新。
• PHP 8.5：8.5.12より前のバージョンを更新。

KISAはまた、PHP 8.1以前のバージョンは公式のセキュリティーサポートが終了していると警告した。これらを使う運営者には、公式のセキュリティー保守が終了したソフトウェアを使い続けず、サポート対象バージョンへ移行するよう勧めた。

事業者がまず確認すべきなのは、ウェブサイトのサーバーで稼働しているPHPのバージョンだ。ホスティング会社がソフトウェアを管理している場合もあれば、社内のITチームが担当している場合もある。ノートパソコンのブラウザーを更新しても、システムの別の部分が変わるだけだ。

2件の脆弱性で起こり得ること

CVE-2026-109618は、ソフトウェアが通常の動作から外れた状況に遭遇する「例外的な状況」に関するものだ。プログラムはこうした状況を安全に処理する必要がある。処理に不備があれば、意図しない動作につながるおそれがある。

CVE-2026-109619は、解放後のメモリー使用（use after free）と呼ばれる脆弱性だ。ソフトウェアは一時的にコンピューターメモリーの領域を確保し、処理が終わると解放する。この種の脆弱性は、プログラムが解放済みの領域を後から使おうとすることで発生し、すでに変更されたデータや別の処理に属するデータにアクセスする可能性がある。

報告された危険性は、認証を必要としないリモートコード実行だ。平たく言えば、外部の第三者が有効なユーザー名やパスワードを入力せずに、ウェブサイトのサーバーで命令を実行させる可能性がある。攻撃に成功すれば、情報の流出や悪意あるソフトウェアのインストール、サービスの妨害につながりかねない。

公表された発表では、それぞれの脆弱性を悪用するために必要なサーバー構成やリクエストの条件は明らかにされていない。そのため運営者は、影響を受けるソフトウェアのバージョンを確認し、自社の環境に合った技術的な助言を得る必要がある。

WordPressによって一般企業にも身近な問題に

PHPは訪問者のスマートフォンやコンピューターではなく、ウェブサイトのサーバー上で動く。買い物客が注文履歴を表示しようとすると、PHPプログラムがデータベースから該当する記録を取得し、ブラウザーに返すページを準備することがある。ログイン機能やコメント、掲示板も同様の仕組みで動作する。

ウェブサイトの作成・管理ツールを提供するWordPressもPHP上で動く。そのため今回のセキュリティー対応は、基盤となるプログラミング言語に普段直接触れることの少ないブログ、企業サイト、オンラインショップの運営者にも関わる。

ウェブ技術の調査サービスW3Techsに帰属する数値によると、サーバー側のプログラミング言語を特定できるウェブサイトのうち、PHPの利用率は約75％に上る。WordPressは全ウェブサイトの約43％を占める。PHPの数値はWordPressの数値より対象範囲が狭く、すべてのウェブサイトではなく、サーバー言語を特定できるサイトを集計している。

こうした数値は、対応が広範囲に及ぶ理由を示している。多くの独立運営サイトが同じ基盤ソフトウェアに依存しているため、1つの修正対応が公的機関、大企業、中小企業に同時に関わることがある。

韓国、2つのセキュリティー経路で企業に対応要請

科学技術情報通信部とKISAは10月21日、サイバー脅威情報を分析・共有する仕組み「C-TAS」の参加者と、最高情報セキュリティー責任者（CISO）の登録が義務付けられている企業に対し、セキュリティー対策を要請した。

C-TASには約5,900の企業・機関が参加している。韓国の情報通信網関連法令では、約3万社にCISOの選任と省への届出が義務付けられている。CISOは組織の情報セキュリティーを統括する上級責任者だ。

この2つの数値は異なる対象を示しており、重複する場合もある。政府はKISAの公開サイバーセキュリティーポータル「Boho Nara」も通じて、セキュリティー更新とパッチ適用を勧めた。

小規模事業者は人員面で実務上の課題に直面している。影響を受ける環境の特定や更新の手配、その後もウェブサイトが正常に動作するかの確認を担える従業員がいない場合がある。科学技術情報通信部の当局者は、政府がまずセキュリティー関連の案内を配布し、緊急のパッチ適用支援を検討していると述べた。支援の開始時期や対象条件は発表されていない。

対応の経緯

報告された経緯は、2024年の外部セキュリティー監査にさかのぼり、2026年10月の修正公開前倒しに至る。主な日程は次の通り。

• 2024年：外部監査で一部の欠陥の兆候が見つかったと報じられた。社内の意見の相違や既存ソフトウェアとの互換性への懸念があり、当時はパッチ開発が進まなかったとされた。
• 2026年10月21日：PHP開発者が2件の脆弱性の修正を公開し、KISAが更新を勧告したと報じられた。
• 10月21日夜：韓国当局が企業・機関向けの経路を通じてセキュリティー対策を要請した。
• 10月22日：韓国当局が働きかけについて説明した。当初予定されていたパッチ公開日でもあった。

脆弱性に関する情報が漏えいした後、パッチの公開が1日前倒しされたと報じられた。修正が公表される前に攻撃の試みも検知されたとされ、運営者には迅速な対応が求められる状況となった。

2024年の監査をめぐる経緯は、保守上の課題も示している。共有ソフトウェアを変更すると、従来の動作を前提に構築されたアプリケーションに影響することがある。多様なウェブサイトやホスティング環境を支える言語では、互換性への懸念から修正の調整が難しくなる場合がある。

AIによる発見と独立したセキュリティー研究

サイバーセキュリティー企業Califは、GPT-5.6 Solと説明されるOpenAIのモデルを用いて脆弱性を特定したと報じられた。欠陥は10年以上にわたり発見されずに残っていたとされた。

Google傘下のサイバーセキュリティー企業Wizも、2件の脆弱性を独自に発見し、報告したとされる。Wizの共同創業者アミ・ルトワク氏は、AIを活用して発見された脆弱性の中で最も深刻なものだと述べ、AIなしで発見するのは極めて難しいほど複雑だったと語った。

OpenAIは、対応を支援するため、過去2カ月にわたり研究者やサイバーセキュリティー企業との調整を進めてきたと述べた。また、今後数カ月でAIを用いた同様の脆弱性発見が急増すると予測した。

ウェブサイト運営者が直ちに取り組むべきことは変わらない。導入済みのソフトウェアを特定し、適切な修正を適用したうえで、サービスを稼働し続けることだ。AIを使った発見は、独立した研究や開発者間の調整、パッチの配布と並んで、今回の経緯に新たな要素を加えている。

一部当局がオフライン化を勧めた理由

米国家安全保障局（NSA）はPHPを使う組織に直ちに更新するよう求め、脆弱性が悪用されれば攻撃者がサーバーのファイルシステムやデータベースにアクセスする可能性があると警告した。直ちに更新できない場合は、脆弱性が解消されるまで影響を受けるシステムをオフラインにするよう勧告したと報じられた。

FBIも同様の勧告を出し、リモートコード実行や機密情報・ネットワークが露出する可能性について警告したとされる。オランダとフィンランドの一部政府機関は予防措置としてウェブサイトを停止した。

ウェブサイトをオフラインにすれば、訪問者は提供されているサービスにアクセスできなくなるという即時の損失が生じる。店舗なら販売が中断し、公的機関なら情報やオンライン申請フォームが利用できなくなる可能性がある。この勧告は、修正を待つ間に脆弱なサーバーを外部からアクセス可能な状態にしておくリスクの深刻さを反映している。

Cloudflareは攻撃経路に対応するため、防御策を更新していると述べた。一方、ウェブサイト運営者には引き続きPHPの修正をインストールし、セキュリティー対応で示されたバージョンに基盤ソフトウェアを更新するよう助言が出された。

運営者が今すべきこと

ウェブサイト運営者は、PHPの導入環境を誰が管理しているかを確認し、バージョンをKISAが示した基準と照らし合わせる必要がある。ホスティング事業者を利用している場合は、サーバーのバージョンと更新方法を事業者に確認する。自社サーバーを管理するチームは、直接更新に対応する必要がある。

WordPressを運用する企業は、通常のウェブサイト保守に加えてPHPの実行環境も確認すべきだ。PHPはコンテンツ管理システムの下で動く別のソフトウェア層であり、WordPressのバージョンだけを確認しても、導入環境全体を把握したことにはならない。

PHP 8.1以前を使っている運営者は、サポート対象のリリースへ移行する必要がある。影響を受ける系列をすでに使っている場合は、該当する修正版か、適切な新しいサポート対象バージョンに更新する。顧客のログイン、注文履歴の取得、決済などの重要機能をテストすれば、更新時のサービス上の問題を把握しやすくなる。

要点

• KISAは2026年10月21日、CVE-2026-109618とCVE-2026-109619を特定し、PHPのセキュリティー更新を勧告した。
• 更新基準として示されたバージョンはPHP 8.2.35、8.3.36、8.4.27、8.5.12。
• KISAはPHP 8.1以前の利用者に、サポート対象バージョンへの移行を勧めた。
• 報告されたリスクには、攻撃者がログインせずに遠隔からコードを実行する可能性が含まれる。
• 韓国はセキュリティーネットワークの参加者と、CISOの選任が義務付けられた企業に対応を要請した。
• 韓国の小規模事業者向け緊急パッチ適用支援が検討されていた。
• 各国当局が更新を呼びかけ、直ちにパッチを適用できない場合に一時停止を勧めた当局もあった。