PHPの脆弱性が世界的なウェブサイト停止を引き起こす

PHP Foundation は水曜日に CVE-2026-109618 と CVE-2026-109619 のパッチを発表しました。欠陥により攻撃者がサーバーを遠隔操作できる恐れがあります。パッチは午前10時（ET）前にリリースされました。PHP Foundation は更新が唯一の安全策であると指摘しました。

政府機関と主要ウェブサイトは、悪用を防ぐためにサイトを停止しました。オーストラリア信号局、フランス警察県、ドイツ政府ITサービス、ベルギー外務省、オランダサイバーセキュリティ機関、フィンランド国土測量局などがサイトをオフラインにしました。米国国家安全保障局は、欠陥がファイルシステムやデータベースへの直接アクセスを可能にする恐れがあると警告しました。英国国家サイバーセキュリティセンターはバックドアの確認を勧告しました。

Cloudflare CTO の Dane Knecht は初期攻撃が出現していると述べました。Cloudflare は一時的対策としてファイアウォールルールを更新しました。脆弱性はセキュリティ企業 Calif と Wiz が AI ツールを使用して最初に指摘しました。

PHP は識別可能なウェブサイトの約75％を支えており、無料でオープンソースのソフトウェアで、ボランティアによって維持されています。WordPress、Wikipedia、Slack、Adobe の Magento などが PHP 上に構築されています。

脆弱性は PHP バージョン5 以降のすべてのインストールに影響しますが、公式サポートは PHP 8.2+ のみです。パッチが適用されていないレガシー PHP バージョンはまだ脆弱である可能性があります。