PHP緊急脆弱性「php2shell」パッチ今夜11時公開、その前にできる対策は……GMO系セキュリティ企業が提唱【更新】

PHP緊急脆弱性「php2shell」パッチ今夜11時公開、その前にできる対策は……GMO系セキュリティ企業が提唱【更新】

PHPの重大な脆弱性2件について、GMO系セキュリティ企業GMO Flatt Securityは21日、修正パッチ公開前の緊急対策を公式ブログで公表した。対象はCVE-2026-109618とCVE-2026-109619で、深刻度はCVSSバージョン4.0でいずれも9.2の「緊急」と評価されている。この脆弱性は「php2shell」と呼ばれ、外部から任意のコードを実行できる可能性があるとみられており、悪用を主張するコードが既にインターネット上に出回り始めている。同社はファイルアップロードの進捗をセッションに記録する「Session Upload Progress」機能が関係すると推定し、設定「session.uploadprogress.enabled=0」で無効化することが緩和につながる可能性があると指摘する。ただし、この設定だけでは攻撃を完全には防げないため、根本対策として日本時間21日午後11時に公開予定の修正パッチを即時適用するよう呼びかけている。PHPはWordPressやLaravelなど多くのウェブサイトや業務システムで使われており、影響を受けるサーバーを運用する企業や自治体は、パッチ公開後すぐに更新できるよう事前の手順確認とシステム洗い出しが求められる。