PHP、緊急修正直後に新たな未パッチRCEリスクを警告　特殊なセッション構成に限定、次回定期版で修正へ

要点

• PHPプロジェクトは、特殊な構成下でコードが実行される恐れがある新たな脆弱性「CVE-2026-115560」を公表した。

• 10月21日に緊急修正された「PHP2Shell」とは別個の欠陥だが、極めて限定的な設定でのみ生じるため緊急修正は見送られ、次回の定期版で対処される。

• 回避策として設定項目「session.upload_progress.enabled」を無効化（0）にすることが推奨されている。

• 今回の欠陥を狙った攻撃は確認されていないが、先行して修正された「PHP2Shell」を標的とする攻撃試行は数百万件規模に達している。

• オープンソースのスクリプト言語「PHP」の開発プロジェクトは2026年10月23日、特定の条件下でWebサーバー上で不正にコードを実行（リモートコード実行：遠隔から不正にプログラムを実行されること）される恐れがある未パッチの脆弱性について情報通知を公開した。

• 深刻な脆弱性「PHP2Shell」に対する緊急パッチの公開からわずか2日後の警告となるが、開発元は通常とは異なる特殊な設定の環境のみが影響を受けるため危険性は低いと評価しており、次回の定期リリースで正式な修正を提供するとしている。

緊急修正「PHP2Shell」直後に判明した別個の欠陥

今回公表された問題には「CVE-2026-115560」が割り当てられている。PHPプロジェクトはこれに先立つ10月21日、アカウントを持たない外部の攻撃者がサーバー上でコードを実行できてしまう2件の深刻な欠陥「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）に対処するため、PHP 8.5.12、8.4.27、8.3.36、8.2.35を緊急リリースしていた。

今回のCVE-2026-115560はそれらとは別個の欠陥であり、緊急版を適用した環境であっても修正されていないという。しかし影響を受ける前提条件が極めて狭い範囲に限られることから、プロジェクト側は臨時パッチの発行を行わず、通常の開発サイクルにおける次回の定期バグ修正リリースで修正パッチと完全なアドバイザリ（開発元による公式の案内文書）を公開する方針をとっている。

脆弱性が生じる「極めて限定的な設定」の内訳

PHP側の説明によると、本脆弱性が顕在化するのはWebアプリケーションが以下の条件をすべて満たした場合に限られる。

まず設定ファイルなどでセッションデータのシリアライズ（プログラムが扱うデータを保存や転送が可能な形式に変換する処理）形式を指定する「session.serialize_handler」を「php_binary」または「php_serialize」に指定している必要がある。その上で、アプリケーションの実行中に「ini_set()」関数を呼び出して同設定を動的に「php」へと変更し、かつその変更をセッション開始関数「session_start()」の呼び出しよりも前に行っていなければならない。

さらに、ファイル送信の進捗を追跡する機能である「セッションアップロードプログレス（session upload progress）」が有効化されていることも必須となる。一般的なWebアプリケーションのように、実行中にシリアライズハンドラーを動的に書き換えない構成であれば影響を受けず、PHP側はこうした条件が揃う設定は運用上極めて稀だと説明している。

推奨される暫定回避策と未公表の情報

影響を受ける可能性がある環境に対しては、設定を1行変更する回避策が案内されている。次回の定期リリースが提供されるまでの間、PHP設定で「session.upload_progress.enabled=0」と指定し、アップロード進捗の追跡機能を停止させることが推奨されている。

この機能はPHPにおいてデフォルトで有効化されているが、本回避策は10月21日のCVE-2026-109619向けアドバイザリで提示された緩和策と同一の内容となっている。そのため、前回の修正時点でこの回避策を適用しそのまま維持しているシステムであれば、今回の問題に対して追加の対応を行う必要はないという。

なお、現時点では影響を受けるPHPの具体的なバージョン範囲や修正が含まれるリリース番号、深刻度スコアなどは明らかにされていない。また、前回のCVE-2026-109619と根本的な原因を共有しているか否かも言及されていない。

先行する「PHP2Shell」への攻撃急増と現状

今回新たに報告されたCVE-2026-115560自体の悪用は報告されていない。一方で、10月21日に緊急パッチが配信された2件の「PHP2Shell」脆弱性を標的とする攻撃試行は激増している。

Amazonの報告によると、同社のハニーポット（攻撃者の手口を調査するために設置されたおとりのシステム）では、情報開示の4日前にあたる10月17日時点で既にCVE-2026-109618およびCVE-2026-109619に対する悪用試行が検知されていた。またCloudflareの観測では、開示から45分以内に数万件、翌22日の早朝には数百万件規模にまで攻撃試行が急増したという。SophosやArctic Wolfによれば、攻撃者はこれらを悪用してマルウェア「Mirai」の亜種を感染させ、ボットネット（遠隔操作されるコンピューター群）を構築しようと試みている。

ただしPrevidianやWordfenceなどの報告によると、スキャンや予備的な探索は確認されているものの、コード実行に成功した確定事例は報告されていない。研究者らは想定されていたよりも安定した攻撃コードの構築が難航しているためだと分析している。なお、これら一連の攻撃活動はあくまで10月21日に修正された2件を狙ったものであり、今回報告された未パッチの脆弱性を狙ったものではない。

補足

PHPはインターネット上の数多くのWebサーバーで利用されている基盤技術であり、セッション管理やファイル処理機能は広く稼働している。今回の脆弱性の詳細な情報については、次回の定期リリースでの公式発表が待たれる。