PHP修正版が公開　54の組織がサイトを止めたのは、やりすぎだったのか

PHPの開発チームが10月21日、修正版を4つ出した。8.5.12、8.4.27、8.3.36、8.2.35だ。直したのは、ログインもいらずに外から他人のサーバーでプログラムを動かせてしまう欠陥2件。深刻さは10点満点で9.2。

公式の告知の最後には、こう書いてある。完全な緩和策はない、更新が唯一の安全な選択だ。で、設定を直せば済む話じゃないのか。

設定を変えても、ふさぎきれない

研究者たちはこの2件（CVE-2026-109618、CVE-2026-109619）を「php2shell」と呼ぶ。メモリ切れの処理でPHPが中断され、できかけのデータが正しいものとして片付けられる。捨てたはずの内部の状態が生き残り、次のリクエストで使われる。どちらもサイトのプログラムが動く前に起きるので、攻撃はログイン画面の手前で成立する。

公式は、すぐ更新できない人向けの一時しのぎも並べた。memory_limitを-1にする、session.upload_progressを切る、など。それでも最後に「完全な緩和策はない」と足す。GMO Flatt Securityも「これらの設定変更による脆弱性の完全な回避はできません」と書いた。

じゃあ、止めるしかないのか。21日、国内では告知で確認できた分だけで54の組織がサービスを止めた。厚生労働省のシステム、コドモン、BASE、Cygamesのゲーム。さくらインターネットは13時から、ConoHa WINGは19時から緊急メンテ。エックスサーバーは16時に管理画面を止め、「本対応は不正アクセスの発生によるものではございません」と書き添えた。

8.1以前には、公式の更新が出ない

分かっていないこともある。開発チームは技術的な中身を、パッチ公開まで明かさなかった。

はっきりしているのは、古いサイトのほうが面倒だということ。PHP 8.1以前はサポートが終わっていて、公式の更新が出ない。今回は例外として、7.4、8.0、8.1向けの最小限のソース修正が別に置かれた。借りているサーバーで動かしている人は、サーバー会社の更新を待つことになる。

ネットの評判

はてなブックマークでは、GMO Flatt Securityの解説に679人が印を付けた。多いのは驚きと同情だ。「何処もかしこもメンテや（一時）閉鎖になりつつあるな…」「対応が終わった会社のSEから帰っていくマラソン大会」。「iniでの設定では回避できないらしい」と念を押す声も目立った。

続報が出そうなのは、実際に乗っ取られたサイトが出てくるかどうか。米Tenableは、クラウドフレアの最高技術責任者の話として、21日の時点で攻撃が出始めていると伝えている。