PHPの脆弱性修正リリースで私たちがすべきこと

Transcript

1. PHPの脆弱性修正リリースで 私たちがすべきこと あき 2026-10-21 @関西PHP勉強会 #phpkansai
2. →今夜 23:00 https://www.php.net/archive/2026.php#2026-10-20-1をgoogle翻訳
3. セキュリティパッチが適用されるバージョン • 8.2 以降であれば修正版がリリースされる見込み
4. どんな脆弱性なのか • 公開までは正確な情報はわかりませんが • ある研究者の投稿では、 RCE（Remote Code Execution リモートコード実行）が可能と示唆 • https://x.com/k_ rsov/status/2112641845926989944 • RCEを悪用してできる可能性があること（一例） • .env などのファイルが閲覧されることで情報漏洩 fi • サービスの改ざん（カード情報窃取スクリプトの埋め込み）
5. 今、どういう状態なのか • PHPセキュリティチームにて修正リリースの準備中 • 日本時間で今日の23時にリリース予定 • 悪用が確認された場合前倒しでリリースされる可能性もある • Embargo（情報解禁日時）前だが、 攻撃の方法に関する情報が出回ってしまっている（ここの信憑性は不明）
6. 私たちがすべきこと • サービスが停止する可能性があることを周知 • 修正版リリース前に攻撃が来てしまう可能性を考慮して、 先んじてサービスを止めている例もある • https://www.codmon.com/info/maintenance/10243/ • PHPをアップデートする手順の確認 • アップデート適用方法と動作確認方法を確認しておく • サーバーの構成によってPHPのバージョン変更手順が異なる
7. 私たちがすべきこと • 今夜対応する場合は、Slack以外の連絡手段を用意しておく • SlackもPHPに依存しているので、ダウンタイムが発生する可能性あり • リリースされたらすぐにアップデートをする • 8.2以上であれば修正版が公開される見込み • 修正版が公開されたらサーバー上で動作しているPHPのバージョンを 変更して動作確認→リリース
8. 私たちがすべきこと • 8.2以前のバージョンの場合 • すぐに8.2にアップデートできる場合は8.2にアップデートしたうえで、 今日のリリースが出たら再度アップデートする • すぐには難しい場合、状況に合わせて対策を検討してください • サービス停止も視野に入れる • (php.iniの設定変更による緩和策は迂回できる可能性があるとのことです)
9. とにかく今はアップデートの準備を！
10. 参考になるリンク • 【事前準備のお願い】PHPのセキュリティリリース公開予定について | IPA • https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html • PHP: News Archive - 2026 • https://www.php.net/archive/2026.php • PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の 概要と対応指針 | GMO Flatt Security fl • https://blog. att.tech/entry/php2shell