IPA、PHPのセキュリティリリース公開を事前告知 - 対象システムの棚卸しを呼びかけ

情報処理推進機構(IPA)は10月21日、PHPのセキュリティリリース公開に先立ち、Webサイト運営者や開発者に対して事前準備を呼びかけた。The PHP Groupは同日23時(日本時間)に2件の脆弱性へ対応するセキュリティリリースを公開する予定で、IPAは対象システムの棚卸しや迅速なパッチ適用に向けた準備を求めている。

IPAがPHP利用環境の事前確認を呼びかけ

同機構によると、The PHP Groupは10月21日23時(日本時間)に、2件の脆弱性へ対応するセキュリティリリースを公開する予定だという。また、脆弱性の詳細が事前に公表された場合や実際の悪用が確認された場合には、公表予定日時が前倒しとなる可能性もあるとしている。

現時点では脆弱性の詳細や影響を受けるバージョン、修正版に関する情報は公開されていない。一方でIPAは、PHPを利用するWebサイトやWebアプリケーションの開発・運用担当者に対し、利用状況の棚卸しを進めるよう呼びかけている。PHPはWebアプリケーションだけでなく、ソフトウェア製品やネットワーク機器などの内部でも利用される場合があるという。

CERT-EUは2件のCVEを公表

また、CERT-EUは今回の脆弱性について、CVE-2026-109618およびCVE-2026-109619として注意喚起を公表している。同機関ではPHP 5以降が影響を受けるとしているが、IPAは影響を受ける詳細なバージョン情報は現時点で確認できていないとしている。

IPAは、修正プログラム公開後に迅速な適用が行えるよう準備を進めるとともに、利用中の製品やサービスについてベンダーが公開する情報を継続的に確認するよう求めている。また、修正プログラム公開後に速やかに適用できるよう、あらかじめ利用状況の確認や対応準備を進めるよう呼びかけている。