Webサイトの運用に関係する脆弱性情報として、PHPで確認された重大なリモートコード実行の脆弱性や、実際の悪用が確認された製品の情報が公開されています。PHPでは10月21日に重大な脆弱性2件を修正するセキュリティリリースが公開されたほか、10月23日には特定の設定条件で問題が発生する可能性について追加の注意喚起が行われました。
また、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際の攻撃で悪用されている証拠がある脆弱性6件を、既知悪用脆弱性カタログ（KEV）に追加しています。
PHPで重大なリモートコード実行の脆弱性2件を修正
緊急度：高
PHP開発チームは10月21日、未認証の攻撃者によるリモートコード実行につながる可能性がある重大な脆弱性2件を修正したセキュリティリリースを公開しました。対象となるのは、Webリクエストを処理するPHP環境全般です。PHP開発チームは、特にApacheの mod_php でリスクが高いと説明しています。
脆弱性の概要
今回修正された脆弱性は、次の2件です。
- CVE-2026-109618： メモリ不足が発生した際の内部処理に問題があり、リクエストデータが不完全な状態で後処理が実行される可能性があります。
- CVE-2026-109619： リクエストに関連する内部状態がメモリ解放後も残り、後続のリクエスト処理で不正に使用される可能性があります。
いずれも条件によっては、認証を必要としないリモートコード実行につながる可能性があります。影響する環境にはPHP-FPM、Apacheの mod_php、php-cgi、FrankenPHP、LiteSpeedなどが含まれます。
影響を受けるバージョンと修正版
| PHPの系列 | 修正版 |
|---|---|
| PHP 8.2系 | 8.2.35 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.5系 | 8.5.12 |
PHP 8.1以前は、原則としてPHP開発プロジェクトによる通常の更新対象外です。ただし、今回の脆弱性については、PHP開発チームがPHP 7.4、8.0、8.1向けにもソースコードへの最小限の修正を提供しています。また、一部のLinuxディストリビューションや長期サポート版の提供元が独自に修正を適用している場合もあります。利用環境の提供元に、修正済みパッケージの有無を確認してください。
10月23日には追加の注意喚起も公開
PHP開発チームは10月23日、セッションのアップロード進捗機能に関連する追加の注意喚起を公開しました。この問題はCVE-2026-115560として扱われており、特定の設定とアプリケーションの処理が組み合わさった場合に、リモートコード実行につながる可能性があります。
具体的には、セッションのシリアライズ方式を設定ファイルで php_binary または php_serialize に指定した後、アプリケーションが実行時に ini_set() で php に切り替えてから session_start() を呼び出し、さらにセッションのアップロード進捗機能が有効になっている場合に問題が発生する可能性があります。この条件に該当しない一般的な構成で、直ちに同じ問題が発生するという意味ではありません。
PHP公式は、次回の通常の不具合修正リリースまで、session.upload_progress.enabled=0 に設定することを推奨しています。すでに設定済みの場合は、その状態を維持するよう案内しています。設定変更が必要な場合は、PHP公式の勧告やサーバー事業者の案内を確認してください。
推奨される対応
PHPを利用するサーバーでは、現在のバージョンと実行方式を確認し、修正版への更新を優先してください。PHP開発チームは、設定変更などの暫定対策だけでは完全な解決にならず、アップデートが必要だと説明しています。
レンタルサーバーを利用している場合は、サーバー事業者による更新状況や案内を確認してください。WordPressを利用しているサイトもPHPの脆弱性の影響を受ける可能性があり、WordPress本体の更新だけでは対処できません。
出典
CISAが実際の攻撃で悪用された脆弱性6件をKEVに追加
緊急度：高・優先対応を推奨
米国CISAは10月20日、実際の攻撃で悪用されている証拠がある脆弱性6件を、KEVカタログに追加しました。対象には、Plex Media Server、EG Secure SolutionsのSiteGuard Server Edition、Siemens Software Centerが含まれています。
追加された脆弱性
| 製品 | CVE | 脆弱性の種類 |
|---|---|---|
| Plex Media Server | CVE-2026-96652 | サーバーサイドリクエストフォージェリ（SSRF） |
| Plex Media Server | CVE-2026-96654 | Webページ内のエンコードされたURIスキームの不適切な処理 |
| Plex Media Server | CVE-2026-96655 | サーバーサイドリクエストフォージェリ（SSRF） |
| Plex Media Server | CVE-2026-96656 | ファイル名・パスの外部制御 |
| SiteGuard Server Edition | CVE-2026-106931 | OSコマンドインジェクション |
| Siemens Software Center | CVE-2026-110936 | 検索パス要素の不適切な制御 |
管理者が確認すべきこと
KEVへの掲載は、単に脆弱性が発見されたというだけでなく、実際の悪用を示す証拠が確認されていることを意味します。対象製品を利用している場合は、通常のアップデート計画よりも優先して対応を検討する必要があります。
特に、インターネットからアクセスできる管理画面やサーバー関連製品については、利用の有無とバージョンを確認してください。修正版や回避策の有無は製品ごとに異なるため、各ベンダーのセキュリティ勧告も確認することが重要です。対象製品を利用していない場合でも、管理対象のシステムに該当するソフトウェアが含まれていないか、資産情報を確認してください。
なお、CISAのKEVカタログは米国政府機関向けの対応にも利用されていますが、民間企業や個人の管理者にとっても、脆弱性対応の優先順位を判断するための有用な情報源です。
出典
WordPress 7.1.3でセキュリティ修正7件を公開、更新状況の確認を
WordPressは10月6日、セキュリティ修正7件と不具合修正4件を含む「WordPress 7.1.3」を公開しました。公式発表では、セキュリティリリースであることから、サイト管理者に速やかな更新を推奨しています。
修正された主な問題
今回のリリースには、次のような問題への修正が含まれています。
- コメント管理画面における、保存型クロスサイトスクリプティング（XSS）
WP_Http::make_absolute_url()メソッドに関するサービス拒否（DoS）- WordPress WXRエクスポート処理における二次SQLインジェクション
- 投稿者権限のユーザーが投稿を固定表示できる問題
- 非公開・未公開投稿に関連するコメント情報の未認証開示
- Imgur埋め込みに関するXSS
{status}_{type}フックに渡されるパラメーターを偽装することで、アクション名の衝突につながる問題
これらの修正は、管理画面、投稿データの処理、外部コンテンツの埋め込み、フックの処理など、複数の機能に関係しています。
推奨される対応
WordPressを運用している管理者は、現在のバージョンを確認し、修正版が適用されているか確認してください。自動バックグラウンド更新に対応しているサイトでは自動更新が実行される場合もありますが、更新履歴や管理画面で適用状況を確認することが重要です。
また、WordPress本体だけでなく、PHPやプラグイン、テーマについても個別に更新状況を確認してください。それぞれ異なる脆弱性や修正リリースが存在するため、本体を更新しただけですべての問題が解消されるわけではありません。
出典
まとめ
今回確認した情報では、PHPの重大な脆弱性への対応が最優先事項です。PHP開発チームは修正版を公開しており、Webサイトを運用する管理者は、PHPのバージョンと実行方式を確認する必要があります。10月23日に追加された注意喚起についても、該当する設定を利用していないか確認し、PHP公式の案内に従って対応してください。
また、CISAがKEVに追加した製品については、実際の悪用を示す証拠が確認されているため、該当製品を利用している場合は早急な確認が求められます。WordPressについても、本体のセキュリティ更新が適用されているか確認し、PHPやプラグインなどの周辺環境を含めて管理することが重要です。
