米CISA、PHPの脆弱性2件を悪用確認済みカタログに追加　連邦機関は10月29日までに対応

　米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月26日、PHPの脆弱性2件を、悪用が確認された脆弱性を集めた「Known Exploited Vulnerabilities（KEV）カタログ」に追加したと発表した。あわせて、10月21日に出していた、PHPの重大な脆弱性に対する即時のパッチ適用を求める注意喚起を更新した。

　追加されたのは、CVE-2026-109618（メモリ破損）とCVE-2026-109619（内部リクエスト状態の不整合）の2件。KEVの説明では、いずれも認証なしで遠隔からコードを実行できる脆弱性とされている。

　CISAの注意喚起によると、2件は「php2shell」と呼ばれ、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境のすべてが影響を受ける。PHPはmod_phpを最も高リスクとみているという。修正版は8.5.12、8.4.27、8.3.36、8.2.35で、CISAは直ちに更新するよう求めた。すぐに更新できない場合や、PHP 8.1以前のサポート対象外の版を使い続ける場合は、更新できるまでPHPを使うシステムをオフラインにするよう勧めている。

　今回のKEV追加は、BOD 26-04に基づく。BOD 26-04は連邦政府の民間行政機関（FCEB）を対象に、KEVに載った脆弱性のうち、公開状態の資産で完全な制御を奪われるものを優先して修正するよう求める指令。一方、リスクの低い脆弱性は対応を後回しにできる。CISAは、BODが適用されるのは連邦機関のみだとしたうえで、すべての組織にリスクに基づく脆弱性管理と、KEV掲載分の優先的な修正を勧めている。

　このPHPの脆弱性をめぐっては、国内でも多数のサービスが緊急メンテナンスで一時停止する事態となった。ソフトバンクも、対応に伴うメンテナンスで緊急速報メールを停止していた。