セキュリティ · 2026年10月27日
PHPの新しいセキュリティ脆弱性、2日後の警告で判明
PHPの新しいセキュリティ脆弱性が発見され、これによりWebアプリケーションがリモートコード実行のリスクにさらされる可能性がある。この脆弱性は、セッションアップロード進捗機能に関連しており、特定の設定を持つサーバーに影響を及ぼす。PHPの開発者は、この脆弱性が実際のアプリケーションで発生する可能性は低いと評価しており、緊急のアップデートの代わりに、次回の定期的な修正リリースまで該当機能を無効にすることを推奨している。
この新しい脆弱性は、PHP2Shellと呼ばれる以前の脆弱性が公開された2日後に発見された。PHP2Shellに対する緊急パッチが既に適用されているシステム管理者にとっては、追加の措置は不要となっている。
脆弱性の発見に至るには、「session.serialize_handler」オプションを「php_binary」または「php_serialize」に設定し、その後に「ini_set()」関数を使用してこのオプションを変更し、「session_start()」呼び出しの前にこれを行う必要がある。さらに、セッションアップロード進捗機能を有効にする必要がある。これらのすべての条件が同時に満たされるため、PHPはこの脆弱性が実際のアプリケーションで見られる可能性を低く評価している。
PHPの開発者は、この脆弱性に対する緊急のアップデートを公表する予定はなく、一時的な対策として「session.upload_progress.enabled=0」の設定を使用して該当機能を無効にすることをシステム管理者に推奨している。この対策は、21日に発表されたPHP2Shellに関する以前のセキュリティ通知でも既に提案されていた。
この新しい脆弱性（CVE-2026-115560）の修正は、次回の定期的なバグ修正リリースで提供される予定である。PHPプロジェクトは、影響を受けるバージョン、修正が含まれるバージョン、および脆弱性の重要度については、まだ詳細を公開していない。