PHPにCVSS 9.2の深刻な脆弱性2件、緊急セキュリティリリースへ
Upcoming Critical PHP Security Release
PHPセキュリティチームのJakub Zelenka氏が、2件の重大な脆弱性に対応するセキュリティリリースを予告した。いずれもCVSS v4.0で9.2のCritical評価。公開は2026年10月21日14:00 UTCを予定しており、全PHPユーザーに事前準備と速やかなアップデートを呼びかけている。脆弱性の詳細が公開された場合や実際の悪用が確認された場合は、前倒しでリリースされる可能性があるという。
脆弱性の詳細が公開された場合、あるいは実際の悪用の証拠が確認された場合には、より早くリリースする権利を留保します。
HNでの議論
312- petervandijck
修正版が出るまで、自分の10サイトほどを停止しました。数時間のダウンタイムと、キャッシュやDBに何か注入されたかもしれないという心配を天秤にかけてね。
- reddalo
修正版のリリース候補が出ています！まもなく安定版も続くといいですね。すでに実際のサイトへの攻撃が始まっています。
- TekMol
ここではパッチの早期リリースを求める声が多いですね。
しかし、修正を早くリリースすることが被害を小さくするのか大きくするのかは明らかではありません。
パッチがあると、おそらくエクスプロイトの作成が容易になります。つまり攻撃の数が増えるでしょう。
世界全体を早い時刻に調整する方法はありません。パッチを当てる必要がある人の数は数十万人規模だと推測します。
この話題を積極的に監視している人なら誰でも、すでに自分のインスタンスを停止する選択肢を持っています。
ですから、警鐘を鳴らしてできるだけ多くの人に今すぐウェブサーバーを停止してもらい、14:00にパッチを当てるのが、被害最小化の観点では最善かもしれません。
- janmo
Cloudflare：「初期の攻撃が発生していることを確認しており、新たな攻撃ベクトルが現れるたびに緩和策を更新しています。」
https://x.com/dok2001/status/2112811965735202970
一体いつになったらパッチをリリースするんだ？！
- nr378
これが過去10年間のすべてのPHPバージョンに影響し、エクスプロイトの手順がTwitterのトップで出回っていて、まだ修正版がないことを考えると、すべての主要なPHPサイトがすでに侵害されていると仮定しても大げさではないでしょう？
ここでのアップグレード手順には、ホストを焼き払って一からやり直すことも含めるべきです。
- anthonyeden
私が見る限り、CloudflareはWAF [0]（無料・有料）でこれを緩和しています。
Alpine GitLab[1]によると、2026年10月21日 14:00:00 UTCにリリースされるPHPバージョンは以下の通りです：
8.5.12
8.4.27
8.3.36
8.2.35
[0] https://developers.cloudflare.com/waf/change-log/changelog/
[1] https://gitlab.alpinelinux.org/groups/alpine/-/work_items?sh...
- bwoebi
なぜパッチがまだ出ていないのか不思議に思っている皆さんへ：
リリースを担当する人はほんの一握りしかいません。彼らはまだ眠っています。
正直に言うと、私も驚いています。リークされた動画（そもそもあのタイミングで発表が行われた理由です）の直後に、エクスプロイトがこんなに早く公開されたことに。LLMがあっても、もう少し時間がかかると思っていました…
- redox99
エクスプロイトはすでに出回っています。ええ、これは史上最悪の脆弱性として歴史に残りそうですね。そして今やLLMがあれば、数時間のうちに何万ものエージェントが世界中のあらゆるPHPサイトをハッキングするのが見られるでしょう。
- dawnerd
個人サイトで試してみたところ、データベース全体をダンプできました。すぐにすべてのサイトを停止しました。これはまずいです。
- qtqtqt
https://gerrit.wikimedia.org/g/mediawiki/core には「Error: please contact the wikimedia SRE team to discuss a less disruptive approach at ...」とあります。関連しているのでしょうか？