概要
本日、PHPの緊急セキュリティアップデートが公開され、約70%のウェブサイトが直ちに対応を求められました。2つの深刻な脆弱性はリモートコード実行やサービス拒否を引き起こし、実際にエクスプロイトが野放しで観測されています。
影響はDrupal、Magento、Joomla、WordPressなど多数のCMSに波及し、欧州の政府サイトでも一時的に停止が報告されました。
OpenAIやWizの研究者がAIを活用して実証したことから、過去数十年にわたって埋もれていた欠陥が一気に危険度を高めました。
技術的詳細・特徴
今回の脆弱性はPHP本体に存在する2つのバグで、どちらも任意コード実行（RCE）を可能にします。過去10年でリリースされたすべてのPHPバージョンに少なくとも一つは影響があり、特に古いバージョンほど攻撃対象になりやすいです。エクスプロイトは複雑なチェーンを必要としましたが、生成AIがそのハンドリングを自動化したことで実用化が加速しました。
攻撃者はWebシェルを設置し、サーバ上で任意のコマンドを実行できるほか、データ漏洩やサービス停止（DoS）も引き起こします。CloudflareはUTC 3:02にWAFルールを追加し、悪意あるリクエストをブロックしています。
影響・対策方法
- 公式サイトから提供されたPHP 8.3.12以降、または該当バージョンのパッチを直ちに適用する。
- WAFやIPSで「CVE‑2026‑xxxx」系のシグネチャを有効化し、疑わしいリクエストを遮断する。
- CMSやプラグインのバージョンも最新に保ち、不要なPHP拡張は無効化する。
- サーバのバックアップを定期的に取得し、侵入が疑われた場合は速やかに復旧手順を実行する。
出典
情報元: Krebs on Security