PHP2Shellの3つ目のバグ見つかる、ただし緊急修正は行われず

何が起きたのか

PHP2Shellと呼ばれる騒ぎが続くなか、研究者が3つ目のPHPの弱点を見つけました。これを使うと、攻撃者がウェブサイトを乗っ取ったり、遠隔から悪意あるプログラムを動かしたりできるおそれがあります。PHP Foundation（PHPを管理する団体）は、この弱点にCVE-2026-115560という番号を割り当てました。修正版は次の定期リリースで出す予定です。

押さえておきたい数字と事実

• 3つ目の弱点の番号は CVE-2026-115560 です
• 最初の2つ（PHP2Shell）は CVE-2026-109618 と CVE-2026-109619 です
• PHPはウェブサイトの約70％で使われています（サーバー側の言語のうち）
• 最初の2つは10月22日（水曜日）に公開され、修正されました
• 現時点で、PHP2Shellによる成功した侵入は公式には確認されていません

なぜ今回は緊急修正がないのか

この弱点は、非常に特殊な設定と、特定のアプリのコードが組み合わさったときだけ起きます。PHP Foundationは、実際の使い方ではほとんど起きないと考えています。そのため、今は設定を変えて防ぐように案内しています。具体的には、session.upload_progress.enabled を 0 にする方法です。

なぜ大事なのか

PHPは多くのサイトを支える基盤なので、弱点が次々に見つかると不安が広がります。今回は、緊急で直す必要は低いとされています。ただし、設定を見直さないままだと、思わぬ場所で攻撃を受けるかもしれません。管理者は、自分のサイトの設定を確認することが大切です。

今後注目したい点

• 次の定期リリースで、3つ目の弱点の修正版と詳しい報告が出るかどうか
• 最初の2つの弱点を使った攻撃が、実際に成功する例が出てくるかどうか
• 攻撃に使える試作コード（PoC）が広がり、攻撃が増えるかどうか