PHPのクリティカルな脆弱性が実際の攻撃で悪用される

プログラミング言語PHPの2つのクリティカルな脆弱性が実際のサイバー攻撃で悪用されていることが確認された。この脆弱性により、攻撃者は脆弱なサーバーで悪意のあるコードを実行できる。発見はPerplexityのセキュリティ研究者Adel Karimiによって行われ、ハニーポットを使用して確認された。KarimiはPHP 8.4.26を使用したApacheサーバーへの成功した攻撃を文書化した。Expelのセキュリティ研究者Marcus Hutchinsによっても確認されている。これらの脆弱性、CVE-2026-109618およびCVE-2026-109619は、10月21日に緊急のセキュリティアップデートによって修正された。

同時に、PHPのセキュリティチームは、CVE-2026-115560という別の脆弱性が依然としてセキュリティアップデートを欠いていると警告している。この脆弱性は、稀な設定やコードの組み合わせを持つシステムにのみリスクをもたらす。管理者は、当面の間、session.upload_progress.enabled機能を無効にすることが推奨されている。