the php group

CVE-2026-109618 and CVE-2026-109619 are Critical vulnerabilities in PHP, a scripting language used globally for web servers and CMS systems. The post Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 23) appeared first on Unit 42 .

JPCERT/CCは、PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）についての注意喚起を公開した。悪用されると任意のコードを実行される恐れがあり、速やかな更新と侵害調査を呼び掛けている。これに加えてPHP開発元は、2026年12月31日にサポートが終了するPHP 8.2系からの移行も推奨している。

多くの日本企業を混乱の渦に巻き込んだPHP脆弱性問題。深夜のアップデート対応に追われた担当者もいることだろう。この問題はなぜ起きたのか。その背景には一朝一夕ではいかない開発者全体に関わる根深い課題があった。

PHPの開発チームが、認証不要のリモートコード実行につながる2件の重大脆弱性を修正するセキュリティリリースを公開した。IPAも注意喚起を出し、速やかな適用を促す。だが、全てのシステムを直ちに更新できる企業ばかりではない。何から手を付けるべきか。

PHP�ɍ��댯�x�̐Ǝ㐫��������A�C���ł����J���ꂽ�B����TLS�ڑ����̃G���[�����ɂ���A����̊��ł�HTTPS�ʐM�̎��s�����������ɃT�[�r�X��~�ɔ��W���鋰�ꂪ����Ƃ����B ���̋L���͉������ł��B����o�^�i�����j����ƑS�Ă������������܂��B �@The PHP Group�́APHP�ɉe�����镡���̐Ǝ�i�������Ⴍ�j�����C�������B���ɁuCVE-2026-12184�v�́ATLS�ڑ����̃G���[�����̕s���ɂ��APHP-FPM����DoS�iDenial of Service�j�U���������N�������ꂪ���鍂�댯�x�̐Ǝ㐫���B �@�����āA�Í������C�u�����uOpenSSL�v�g���ɑ��݂��郁�����j���̖��uCVE-2026-14355�v���C�����Ă���A�Ώۃ��[�U�[�ɏC���łւ̍X�V���Ăъ|���Ă���B �@CVE-2026-12184�́AGitHub Security Advisory�uGHSA-mhmq-mmqj-2v39�v�Ō��\���ꂽ�Ǝ㐫���B�e������̂�PHP 8.3.32�����A8.4.21�����A8.5.6�����ŁA�C���ł͂��ꂼ��8.3.32�A8.4.21�A8.5.6�ƂȂ�B���ʐƎ㐫�]���V�X�e���iCVSS�jv4.0�̃X�R�A��8.2�ŁA�[���x�́uHigh�v�ƕ]������Ă���B�@�����⊮�S���ւ̉e���͊m�F����Ă��Ȃ�����A�p���ւ̉e���͍����B �@�����́ATLS�ڑ����̃G���[�����ɂ���BTLS�Í����̏������Ɏ��s����Ɠ����X�g���[���͔j������邪�A���̌�̏����ŏ�Ԋm�F���K�Ɏ��s����Ȃ����߁A�s���ȃ������A�N�Z�X���������鋰�ꂪ����B �@���̖��́A�ؖ����̗L���������ڑ���̏ؖ������؎��s�Ȃǂɂ����TLS�ڑ����m���ł��Ȃ������Ƃ��ɔ�������\��������B�U���҂�����ȓ��͂𑗂荞�ރ^�C�v�̐Ǝ㐫�ł͂Ȃ��ATLS�ڑ����s���̏����s���������ƂȂ�_���������B �@���ɉe�����傫���̂�PHP-FPM�����B��Q�����������FPM�v���Z�X�S�̂���~���A�z���̃��[�J�[�v���Z�X�������ɗ��p�ł��Ȃ��Ȃ�B���̂��߁A�O��HTTPS�T�[�r�X�ƘA�g����PHP�A�v���P�[�V�����ł́ATLS�ڑ����s���_�@�Ƃ��ăT�[�r�X�Ɏx�Ⴊ�����鋰�ꂪ����B�����_�ʼn����͌��\����Ă��炸�A�C���łւ̍X�V���B��̑�ƂȂ�B �@�����Ɍ��J���ꂽCVE-2026-14355�́AOpenSSL�g����openssl_encrypt����AES-WRAP-PAD�A���S���Y���𗘗p�����ꍇ�ɔ�������Ǝ㐫���B�e������̂�PHP 8.2.32�����A8.3.32�����A8.4.23�����A8.5.8�����ŁA�C���ł�8.2.32�A8.3.32�A8.4.23�A8.5.8�Ƃ��Č��J���ꂽ�BCVSS v3.1�̃X�R�A��4.8�ŁA�[���x�́uMedium�v�ƕ]������Ă���B �@�����́A�Í�����̃f�[�^�T�C�Y�𐳂������ς��炸�Ƀ������̈���m�ۂ��Ă������Ƃɂ���B���̌��ʁAOpenSSL���m�ۍςݗ̈���ăf�[�^���������݁A�������j������������B��Q�͂��̌�̃������Ǘ������Ō��o����A�A�v���P�[�V������~�ɂȂ���\��������B �@AES-WRAP-PAD��Web�A�v���P�[�V�����ōL�����p�����A���S���Y���ł͂Ȃ����߁A�e��������͌���I�Ƃ݂���B����A�Y������������̗p���Ă���ꍇ�́A�A�v���P�[�V������~��DoS�ɂȂ��鋰�ꂪ���邽�ߒ��ӂ��K�v���B �@PHP�J�����͗��Ǝ㐫�̏C���ł����J���Ă���B���ɊO��HTTPS�ʐM������PHP-FPM���ł́ACVE-2026-12184�̉e�����傫�����Ƃ���D��I�ȍX�V�����߂���BCVE-2026-14355�ɂ��Ă��A�Y����������𗘗p���Ă�����ł́A�����ďC���łւ̃A�b�v�f�[�g��i�߂����B Copyright © ITmedia, Inc. All Rights Reserved.