PHP Releases New Windows Build Security Updates to Fix Critical HTTP2Shell Vulnerability
2026/10/26 CyberSecurityNews — HTTP2Shell とも呼ばれる深刻な脆弱性を修正するために、PHP チームは Windows 向けの更新版をリリースした。新しいパッケージである PHP 8.5.12-1／8.4.27-1／8.3.36-1／8.2.35-1 は、2026年10月26日に公開された。各ビルドには、CVE-2026-111497 を修正した Brotli 1.2.1 が含まれている。Windows 環境で PHP を使用しているユーザーは、これらのパッケージを速やかにインストールする必要がある。
この脆弱性は、多くのプログラムでデータの解凍に使用されている、Google の Brotli ライブラリに存在する。CVE-2026-111497 は境界外書き込み (Out-of-Bounds Write) の脆弱性であり、プログラムに割り当てられたメモリ領域の範囲外にデータを書き込むという問題を引き起こす。Node.js は 10月21日のセキュリティ・リリースで、この脆弱性 Node2Shell を公表している。
PHP における HTTP2Shell の脆弱性
影響を受けるソフトウェアが明らかになるにつれ、名称は HTTP2Shell に変更された。Google は、この脆弱性を CVE-2026-111497 (CVSS v4.0 9.2) と評価している。環境の構成に応じて、プログラムのクラッシュ／メモリ内容の漏えい／未認証でのリモートコード実行に至る可能性がある。
PHP の公式アドバイザリで説明されているのは、Windows 環境の PHP が、この脆弱性の影響を受ける仕組みである。HTTP レスポンスの自動解凍が有効化されている場合に、cURL エクステンションを通じて脆弱なデコーダが呼び出される可能性がある。libcurl のドキュメントによると、この設定では cURL はデフォルトで無効化されている。ただし、アプリケーションや HTTP クライアント・ライブラリにより有効化される場合がある。
したがって、信頼できない送信元から受信した Brotli データを解凍する PHP 環境において、特にリスクが高くなる。新しいバージョン番号の末尾に付けられた「-1」は、依存ライブラリを更新して Windows 向けに再ビルドしたことを示すものであり、PHP ランタイム自体のバージョンは変更されていない。
この脆弱性は PHP に限定されるものではない。研究者が確認しているものには、Node.js／Python パッケージ／.NET／FFmpeg／ClickHouse／Apache Arrow への影響がある。Microsoft と2つの Python パッケージのメンテナも、すでに修正パッチを公開している。
Brotli は多くの製品で再利用されているため、バージョン番号だけでは修正状況を正確に判断できない場合がある。一部のベンダーは、修正を古いリリースにバックポートしているため、バージョン番号が古くても、実際には修正済みのビルドである可能性がある。
セキュリティ担当者が最初に確認すべきは、すべての Windows 上の PHP ホストで、末尾に「-1」が付いた新しいパッケージを使用していることである。また、同梱されている Brotli ライブラリについても確認する必要がある。アップストリームの修正済みバージョンは、1.0.10／1.1.1／1.2.1 である。
直ちにパッチを適用できない組織は、信頼できない Brotli 入力データが、本番システムの解凍処理に渡されないようにする必要がある。詳細は、PHP の公式セキュリティアドバイザリおよび GitHub の Brotli 1.2.1 リリースノートで確認できる。更新済みのパッケージは、PHP の Windows 向けダウンロードページから入手できる。
この問題の全体像については、HTTP2Shell が Web トラフィックを超えて他のソフトウェアにも影響する仕組みを解説した、以前の記事を参照できる。また、Node.js のセキュリティ・アップデートに関する記事では、修正が提供されたリリース系列についても説明している。
管理者にとって必要なことは、PHP が 10月21日に公開した別のセキュリティ・リリースについても確認することだ。このリリースでは、未認証でのリモートコード実行を可能にする 2件の重大な脆弱性 CVE-2026-109618／CVE-2026-109619 が修正されている。PHP 8.2 は、2026年12月31日にサポートが終了するため、この系列を使用し続けている組織は、サポート対象のバージョンへアップグレードする必要がある。
この記事は、Web 開発言語環境である PHP の Windows 向けパッケージにおける境界外書き込みについて解説するものです。組み込まれたデータ圧縮処理ライブラリでの境界チェック不足や通信レスポンスの自動展開機能が背景に存在します。影響として、メモリ領域の破綻／プロセスの強制終了／外部からの遠隔命令実行が生じる恐れがあります。対応策として、依存関係の更新を含む修正済みビルドへの差し替え／対象ライブラリのバージョン確認／不審な圧縮データの流入制限が求められます。 (対象 CVE： CVE-2026-111497)
You must be logged in to post a comment.