インターネットのバックボーンと称されるPHPで、2件の重大な脆弱性が発見された。ウェブサイトの70%で使用されているプログラミング言語PHPで新たに2件の重大な脆弱性が発見され、PHP開発チームは10月20日の発表で、これらの脆弱性を修正する緊急パッチが公開されたと伝えた。チームは緊急パッチを公開した。
これらの脆弱性はCVSS v4.0システムで10点満点中9.2点となった一方、サイバーセキュリティ企業のwatchTowrは危険度を10点満点中10点と評価した。技術的詳細と影響を受けるバージョンの範囲はまだ完全には公表されていない。研究者らはOpenAIのGPT-5.6 Solモデルを使用してこの脆弱性を発見し、Google傘下のWizも自社のAIツールでこの発見を独自に検証した。
CVE-2026-109618およびCVE-2026-109619のコードが付けられたこれらの脆弱性はリモートでのコード実行を可能にすると主張されており、「PHP2Shell」という悪用ツールの動画では、以下のプラットフォームでコードが実行できたとされている。主張されているプラットフォームは以下の通り: – WordPress 7.1.3 – MediaWiki 1.46.2 – phpBB 3.3.17 – Magento 2.4.9 – Joomla 6.2.0 – Laravel 13.36.0 – Symfony 8.1.9 – Drupal 11.4.10 – WHMCS 9.0.9
watchTowrは、少なくとも1件の脆弱性をラボ環境で再現したと発表した。セキュリティ企業のSansecは、パッチの公開後、最初の大規模攻撃の波が15分以内に始まる可能性があると警告した。
用語: パッチ
パッチとは、ソフトウェアの不具合や脆弱性を修正するアップデートのことである。