欧州のサイバー緊急対応チームは、2つの重大なPHP脆弱性に対しパッチを適用できないウェブサイトに、オフライン化の検討を促した。いずれの欠陥も、攻撃者がログインなしでウェブサーバーを乗っ取る可能性がある。
PHPは、WordPressのブログやMagentoのオンラインストアなど、ウェブの多くを支える技術である。しかし、両脆弱性の詳細は修正前にオンライン上で流出した。
攻撃者が先手を取る
この流出は予定公表前の10月20日に発覚したと、Huntressが報告した。PHP財団のセキュリティチームは、10月21日14時（UTC）に公開を繰り上げる判断をした。
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
— The PHP Foundation (@ThePHPF) October 20, 2026
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
セキュリティ企業watchTowrが2つのバグのうち1つの再現に成功したとHuntressが伝えた。Huntress自体は顧客システムで攻撃利用は確認していないと述べている。
一方、Cloudflareのデーン・クネヒトCTOによれば、すでに攻撃が始まっているとのこと。同社は既知の攻撃経路に対して、無料ユーザーを含む全顧客にファイアウォールルールを適用済み。
初期段階の攻撃が見られており、新たな攻撃手法が判明し次第、対策更新を実施している。これはあくまで一次的な措置である。
クネヒトCTOはこの警告をXで投稿した。
欧州連合コンピュータ緊急対応チーム（CERT-EU）とオーストラリアのサイバー機関は、PHPの脆弱性がPHP 5以降の全バージョンに影響する可能性があると警告したと、ロイターが報じた。
一部の研究者は、修正プログラムの提供はサポート中のPHP 8系のみになると予想しているとHuntressは指摘。これにより、古い未サポート版へのパッチ提供がない恐れもある。
この警告は、100社超がAIによるサイバー攻撃の急増を数カ月内に警告したニュースから数週間後に出された。
PHP脆弱性がウェブサイト運営者に与える影響
PHPは、サーバーサイド言語が特定できるウェブサイトの約69％で稼働していると、W3Techsのデータが示す。WordPress単独で全ウェブサイトの約40％を占める。
CERT-EUは、9.2という深刻度スコアは外部からの認証不要なリモートコード実行を意味すると説明。言い換えれば、第三者が資格情報なしでサーバー上で悪意あるコードを動作させ得る。
ウェブホストのGoDaddyは、攻撃者がデータ窃取やウェブサイト改ざん、システムの完全掌握を行う恐れがあると警告。盗まれた記録情報の実害は韓国銀行での情報流出が示している。
セキュリティプラグインのWordfenceは、全WordPressサイトはPHPサーバー上に構築されていると指摘。しかしWordPressの自動更新ではPHP脆弱性は修正されないため、サイト運営者はPHP管理者の把握が必要。
インフラへの攻撃は拡大傾向にある。10月のフランスのスーパー冷蔵庫ハッキングもその一例である。こうしたPHP脆弱性は、ウェブ基盤のソフトウェア層の脆弱性を突かれやすくし、サーバー更新の遅れが被害拡大の一因となる。
jp.beincrypto.com でPhil Haunhorstによるオリジナル記事 EU、一部ウェブサイトに「自主停止」要請の理由 を読む