PHP の RCE 脆弱性 2 件を watchTowr が報告：Web サーバにリスクをもたらす恐れ

Two Critical PHP RCE Vulnerabilities With CVSS 9.2 Score Put Web Servers at Risk

2026/10/21 gbhackers — PHP セキュリティチームが公表したのは、CVSS v4.0 で 9.2 と評価された 2 件の緊急度の高い脆弱性に対処するための、セキュリティ・アップデートの計画である。2026年10月20日付けのアドバイザリが、管理者に対して強く推奨するのは、アップデートが公開され次第、速やかに適用できるよう準備しておくことである。その一方で watchTowr が、リモート・コード実行 (RCE) につながる可能性のある 2 件の脆弱性を報告しているが、現時点において PHP メンテナー側は、これらの脆弱性の識別子や技術的な詳細を確認していない。

PHP の公式リリースは、2026年10月21日 (水) 14:00 UTC に予定されているが、脆弱性の詳細が事前に公開された場合や、実際に悪用された証拠が確認された場合には、パッチを予定より早く公開する可能性があると、PHP のメンテナーは説明している。セキュリティ・アップデートの公開に伴い、影響を受けるバージョン／修正済みバージョン／脆弱性の詳細が明らかになる予定である。

PHP の重大な RCE 脆弱性 2 件

watchTowr が報告した脆弱性には、識別子として CVE-2026-109618 と CVE-2026-109619 が付与されている。同社の FAQ によると、これらの RCE 脆弱性を悪用する攻撃者が、影響を受ける PHP サーバ上で任意のコードを実行する可能性がある。ただし、この情報は未検証の報告に基づくものであると、同社は強調している。

報告されている影響範囲には、PHP 5 以降の全バージョンが含まれるとされているが、PHP のメンテナーは、この主張に対する検証を行っていない。したがって、影響を受けるコンポーネントや関数／攻撃経路／認証要件といった、攻撃の成立に必要な設定条件なども公開されていない。そのため、自社のシステム構成やアプリケーションの機能を把握している管理者であっても、報告された脆弱性の影響を受けるかどうかを判断できない状況にある。

また、PHP の公式通知では、2 件の脆弱性について公表された CVSS スコア 9.2 が、具体的な CVE 識別子と関連付けられていないため、これらのスコアを CVE-2026-109618／CVE-2026-109619 に結び付けるのは時期尚早である。watchTowr の脆弱性一覧には、両方の CVE 識別子が記載されているが、予定されているリリース前の時点では、CVSS スコアは割り当てられていない。したがって、こうした予備的な情報と、ベンダーが正式に確認した発表内容を区別することが重要である。

脆弱性の発表予定日時についても、watchTowr の FAQ では、ソーシャルメディア上で流通した情報に基づき、10月22日 18:00 CEST に発表されるという未確認の情報が言及されている。その一方で、PHP の公式通知では 10月21日 14:00 UTC と明記されているため、管理者は対応作業を調整する際に、PHP 側が公式に公表したスケジュールを基準とすべきである。

10月21日時点で watchTowr は、これらの脆弱性が実際に悪用された事例は確認されていないと報告しているが、悪用が不可能であることを意味するものではない。PHP 側は、攻撃が確認された場合にはパッチの公開を前倒しする可能性があるとしているため、管理者は公式の更新情報を継続的に確認する必要がある。

組織はパッチの公開に備え、本番環境で稼働している PHP のバージョンと導入状況を把握し、各アプリケーションの管理責任者を特定した上で、更新手順を整備しておく必要がある。watchTowr が推奨するのも、PHP の公式セキュリティ情報を監視し、修正済みバージョンが公式に公表され次第、速やかにパッチを適用することである。

現時点では、公式に確認された回避策／影響を受けるバージョンの一覧／脆弱性を引き起こす技術的な条件が公開されていない。そのため、推測に基づく設定変更を、これらの脆弱性への対策として用いることは避けるべきである。

PHP におけるリモート・コード実行 (RCE) の脆弱性 CVE-2026-109618／CVE-2026-109619 (スコア 9.2) により、Web サーバの運用環境において任意のコードが実行されるリスクが高まっています。ただし、PHP と watchTowr の情報が錯綜しているため、注意が必要です。このような問題による影響として、システム全体の制御奪取や不正なデータの改ざんが発生する恐れがあるため、迅速なリスク評価と運用の見直しが求められます。対応策としては、公式アナウンスの監視や、影響を受けるバージョンおよび導入状況の事前把握の実施、更新手順の整備などが推奨されます。