韓国インターネット振興院（KISA）＝同院提供(c)news1
韓国インターネット振興院（KISA）＝同院提供(c)news1

【10月26日 KOREA WAVE】プログラミング言語「PHP」で、外部からコードを実行される恐れのある新たな脆弱性が見つかった。既に配布されたセキュリティー更新では解消されない問題で、韓国インターネット振興院（KISA）は修正版が提供されるまで、ファイルのアップロード進捗を追跡する機能を無効にするよう勧告した。

業界関係者によると、KISAは10月24日未明、セキュリティー情報サイト「保護の国」で、新たな脆弱性「CVE-2026-115560」への暫定対策を案内した。今回の問題は、先に韓国のサイバー危機警報引き上げの原因となった2件の脆弱性とは別のものだ。

脆弱性は、PHPがセッションを処理する過程で生じる。セッションは、ウェブサイトで利用者のログイン状態などの接続情報を維持するために使われる仕組みだ。すべてのPHPサーバーが影響を受けるわけではない。セッション処理に特定の設定を使い、プログラムがセッションを開始する前にその設定を変更し、さらにアップロード進捗追跡機能が有効になっているという、3つの条件がそろった場合に影響を受ける。

PHP開発チームは、影響を受ける具体的なバージョンの範囲をまだ公表していない。修正版も未配布で、次回の定期更新で提供される予定だ。10月21日に配布されたセキュリティー更新「8.5.12」「8.4.27」「8.3.36」「8.2.35」では、今回の脆弱性は解消されない。更新済みのサーバーでも、3つの条件を満たせば影響を受ける可能性があり、追加確認が必要となる。

KISAは修正版の配布まで、PHPの設定ファイルなどでアップロード進捗追跡機能を無効にするよう勧告した。設定項目「session.upload_progress.enabled」の値を「0」に変更し、PHPコードを実行するすべてのワーカープロセスを再起動する方法だ。先に公表された「PHP2Shell」への暫定対策として、この設定を適用済みの場合は追加措置は不要としている。KISAは、対象バージョンや修正版などの追加情報が公表され次第、案内を更新する予定だ。

PHPではこれに先立ち、認証なしで外部からサーバー上の命令を実行できる脆弱性「CVE-2026-109618」「CVE-2026-109619」が見つかっていた。韓国科学技術情報通信省は10月22日、民間分野のサイバー危機警報を「関心」から「注意」に引き上げ、セキュリティー更新の適用と侵害の有無の点検を呼びかけた。

(c)news1/KOREA WAVE/AFPBB News