SONAE KNOWLEDGE / PHP SECURITY / 01

PHPの緊急脆弱性対応。2026年10月の更新と追加注意喚起を確認する

修正版の番号、追加条件、Web側への反映、侵害の確認を分けて管理する。中小企業の発注担当向け対応票付き。

公式資料確認：2026-10-26／AIによる資料確認・執筆

公式情報には各節で出典を付けています。確認表・架空例・受入条件はSONAEの提案です。制作と資料確認にAIを使用。本人の編集確認は未了です。専門家による独立した監修は受けていません。

何が公表されたのか

PHP開発元は2026年10月21日、CVE-2026-109618とCVE-2026-109619を公表しました。前者はメモリー不足時の内部状態の破損、後者は解放済みメモリーを参照する古い状態に関係する重大な問題です。この記事は公式資料を確認した説明で、個別環境で攻撃が成立したという試験報告ではありません。

公式情報：PHP開発元：CVE-2026-109618（確認 2026-10-26）

更新先と、追加条件を分ける

当該2件の修正版は8.2.35、8.3.36、8.4.27、8.5.12です。10月23日の追加注意喚起はCVE-2026-115560で、別に確認します。session.serialize_handlerを設定でphp_binaryまたはphp_serializeにし、実行時にphpへ変更してからsession_start()を呼び、アップロード進捗も有効という組合せが条件です。公式は次の通常修正までsession.upload_progress.enabled=0を提案する一方、実行時に方式を変更しないアプリでは有効のままにできるとしています。保守担当が該当条件と機能への影響を確認し、元の2件の修正版番号だけで対応を閉じないようにします。

公式情報：PHP公式：2026年10月21日の緊急更新・23日の追加注意喚起（確認 2026-10-26）

「修正済み」までの証拠を、一本につなぐ

各段階はSONAEの対応管理例です。図は実測結果や完全な安全性を表していません。

図の内容を文章で読む

対象を特定：Web実行系・配布元。変更を反映：修正版・追加条件。業務で受入：反映証跡・残課題。進めない判断：番号だけの確認／Web側への反映は未確認。各段階はSONAEの対応管理例です。図は実測結果や完全な安全性を表していません。

発注担当が最初に渡す情報

以下はSONAEの対応案です。会社のサイト、問い合わせ、会員機能などを、管理会社・環境・担当者と対応させます。公開サイトと社内処理を別行にし、分からない実行方式は未確認と記入します。パスワードや秘密鍵を対応票へ添付する必要はありません。保守会社へは、該当CVE、稼働するPHPの配布元、修正パッケージ、反映予定、追加注意喚起への対応を一組で質問します。

SONAEの点検・運用提案。架空例。

更新の完了は、配信している側で確認

SONAEは、作業記録とWeb側の反映証跡を対応させる運用を提案します。CLIの表示一つを、複数のプールやコンテナーすべての証明にしません。担当者が管理経路で稼働版・パッケージ版・再起動または入替の記録を確認し、ログイン、問い合わせ、定期処理の架空テストを行います。公開のphpinfoページを新設して確認する方法は避け、結果だけを台帳へ残します。

SONAEの点検・運用提案。架空例。

攻撃試行の観測と、自社の被害は別

AWSは10月21日の報告で、MadPotにおける10月17日付の攻撃試行を説明しています。これはハニーポットでの観測です。情報の入手経路は不明とされており、日本の全PHPサイトで侵害が成立した証拠にはできません。自社で不審な事象があれば、更新と並行して、管理担当が記録の保全と調査の要否を判断します。

公式情報：AWS：MadPotでのPHP2Shell攻撃試行の観測（確認 2026-10-26）

対応票を閉じる条件

SONAEの完了条件は、対象ごとの適用根拠、反映、業務確認、追加設定、残課題と担当を説明できることです。暫定策を施した対象は更新済みと別に管理します。今回の調査では顧客への接続、攻撃の再現、実環境の安全判定を行っていません。公式情報は更新されるため、実施直前に同じ一次資料と配布元の案内を再確認してください。

SONAEの点検・運用提案。架空例。

保守会社からの回答を、どう受け入れるか

架空の回答「最新版にしました」に対し、対象サイトと処理系、配布パッケージの修正根拠、稼働側への反映時刻、追加注意喚起の確認、業務テストを対応させて受け取ります。再起動が不要とする回答なら、その構成で反映できた根拠を求めます。暫定設定は値だけでなく適用位置と対象プールを確認し、設定がアプリ側で変わる可能性や業務への影響も担当へ戻します。公開前後の一時点だけの確認を、全ワーカーへの反映と同一視しないことが受入の要点です。これは発注時の確認計画で、今回の調査で実サーバーに適用した結果ではありません。

SONAEの点検・運用提案。架空例。

架空環境での受入計画

以下は未実行の計画です。実測の合格記録ではありません。

パッケージだけ更新: 条件：Web側の識別が不明
期待結果：反映は未確認のまま
一つのプールを確認: 条件：他の処理系の記録がない
期待結果：対象を追加して確認
追加設定を反映: 条件：用途と影響を管理担当が記録
期待結果：暫定対応として期限管理
Webと業務を確認: 条件：対象・版・日時・結果が対応
期待結果：確認した範囲だけを受入

社内で使う確認票

SONAEの運用案・架空例。秘密の値を記入しないでください。

対象: 架空：広報サイト／管理会社A／実行方式は確認待ち
更新: 当該CVEへの修正根拠・配布元・反映時刻
追加条件: セッション設定の確認者・影響・見直す日
受入: 架空テスト・不審事象の調査要否・未了

空欄のひな型記入済みの架空例

完了前のチェック

2件のCVEと10月23日の追加条件を別欄で確認
稼働Web側の反映根拠を保守担当から受け取る
更新と侵害調査の要否を分ける
暫定対応を恒久解消として閉じない

一次資料と確認範囲

資料の対象条件と掲載内容を確認して構成した記事です。顧客への接続や攻撃再現はしていません。資料の改訂を自動追従するものではありません。実施直前に公式資料と配布元の最新案内を再確認してください。