KR — 전자신문
PHPの新たな脆弱性を発見、KISAがファイルアップロード進捗追跡機能の遮断を勧告
セキュリティ2分で読めます
韓国のKISA（インターネット・セキュリティ機関）が、ウェブサイトを作るのによく使われるPHPに新しいセキュリティの欠陥を見つけたと発表しました。この欠陥を使うと、攻撃者がサーバーで命令を実行できる恐れがあります。
何が起きたのか
KISAは24日に、PHPで新しい「リモートコード実行」の欠陥が見つかったという注意喚起を出しました。リモートコード実行とは、離れた場所から攻撃者がサーバーに好きな命令を実行させられてしまう問題です。この欠陥はCVE-2026-115560という番号で管理されています。以前に見つかった重大なPHPの欠陥2つとは別のものです。修正版が出るまでの間の一時的な対策も示されました。
主な数字と事実
- 新しい欠陥の番号：CVE-2026-115560
- 以前の欠陥の番号：CVE-2026-109618と CVE-2026-109619
- 21日に出た更新版：PHP 8.5.12、8.4.27、8.3.36、8.2.35
- 21日の更新版では、新しい欠陥は直らない
- 影響を受けるのは、特定の設定の組み合わせを使っているサーバーだけ
欠陥の仕組み
この欠陥はPHPが「セッション」を扱う場面で起きます。セッションとは、ログイン状態などユーザーの情報を覚えておく仕組みです。データの保存と読み出しのやり方が食い違い、さらにファイルアップロードの進行状況を記録する機能がオンになっているときだけ起きます。PHPの開発者は、この組み合わせは実際のシステムではあまり起きないと考えています。そのため、緊急の更新ではなく、次の定期更新で直す予定です。
今すぐできること
- PHPの設定で 'session.upload_progress.enabled' を 0 にする
- PHPのワーカープロセスをすべて再起動する
- PHP2Shellの欠陥のためにすでに同じ変更をしていれば、追加の作業は不要
- 以前の2つの欠陥に対する最新のセキュリティ更新は、必ず入れる
なぜ大事なのか
この欠陥を悪用されると、攻撃者がサーバーを乗っ取り、顧客の情報を盗み、ウェブサイトを書き換え、社内ネットワークに入り込む恐れがあります。PHPを自分で動かしていない会社は、ホスティング業者やソフトウェアの提供元に、これらの対策が入っているかを確認するとよいでしょう。
用語解説
- KISA
- 韓国のインターネットとセキュリティを担当する政府の機関です。
- PHP
- ウェブサイトを作るときによく使われるプログラミング言語です。
- CVE
- セキュリティの欠陥に付けられる共通の番号のことです。
- セッション
- ログイン状態などユーザーの情報を、やり取りの間覚えておく仕組みです。
- リモートコード実行
- 離れた場所から攻撃者がサーバーに命令を実行させてしまう欠陥の種類です。
- PHP2Shell
- 以前に見つかった欠陥の呼び名で、この記事では設定変更の話で触れられています。