セキュリティ / 続報

10月23日にお伝えしたPHPの脆弱性。10月27日、「実際に悪用された」一覧に載りました。

掲載 2026.10.29情報確認 2026.10.29出来事・発表 2026.10.27

10月23日に、自院のホームページを動かしているPHPに深刻な脆弱性が見つかった、とお伝えしました。その後どうなったかを、IPAの注意喚起（10月27日更新）とJPCERT/CCの注意喚起（10月26日更新）で確認しました。変わった点は2つです。ひとつは、この脆弱性が米国の「実際に悪用が確認された脆弱性」の一覧に載ったこと。もうひとつは、同じPHPで別の脆弱性がもう1件公表され、そちらはまだ修正版が出ていないことです。院内で何かを操作する話ではありません。ホームページの制作・保守をお願いしている先に、確認する内容が増えた、とお考えください。

「危ない」から「実際に使われた」に変わりました

IPAの注意喚起は10月22日に公開され、10月27日に更新されています。更新の内容は、今回の2件（CVE-2026-109618、CVE-2026-109619）が米国CISAの「悪用が確認された脆弱性カタログ」に掲載されたことの追記です。掲載は現地時間の10月26日です。あわせてIPAは、国内での攻撃被害の事例は把握していない、とも書いています。JPCERT/CCの注意喚起にも、悪用できると主張する実証コードが多数公開されていること、悪用を試みる通信を観測したという報告が相次いでいることが書かれています。10月23日の時点では「狙われる可能性がある」という段階でしたが、いまは実際に試されている段階です。急ぎ方が変わります。

もう1件、修正版がまだ出ていない脆弱性があります

JPCERT/CCは10月26日の更新で、別の脆弱性CVE-2026-115560を紹介しています。10月23日に公表されたもので、特定の設定とアプリケーションの作りの組み合わせで起きるとされています。開発元は通常のリリースサイクルでの修正を予定しており、現時点で修正版はありません。そのため当面の措置として、PHPの設定で session.upload_progress.enabled を 0 にして、すべてのワーカーを再起動することが案内されています。この設定は先の CVE-2026-109619 の緩和策としても案内されているもので、すでに入れていれば追加の対応は要らない、とされています。設定変更はサーバー側の作業ですので、ご自身では触らず、保守の窓口にこの項目名をそのまま伝えてください。

保守の窓口に聞く、3つのこと

確認する内容は3つです。ひとつ目は、自院のホームページのPHPが修正済みの版になっているか。対策済みは 8.2.35、8.3.36、8.4.27、8.5.12 で、これより前の8.2系・8.3系・8.4系・8.5系が対象です。ふたつ目は、PHP 8.1以前を使っていないか。IPAは8.1以前はサポートが終了していて修正が提供されないため、サポートされている版への更新や、対策済みの製品・サービスへの移行を検討するよう書いています。古いまま使い続ける選択肢はありません。みっつ目は、上の session.upload_progress.enabled の設定が入っているかどうかです。更新がすぐにできない場合は、公開を一時停止することも判断の選択肢として示されています。

院内のパソコンを触る話ではありません

念のため整理します。今回の話はホームページを動かしているサーバー側のもので、受付のパソコンや電子カルテ、オンライン資格確認の機器を操作する必要はありません。ご自身でサーバーの設定を変えたり、ホームページを止めたりするのも避けてください。やることは、制作・保守をお願いしている会社に上の3点を聞き、いつまでに対応するかを文書やメールで残しておくことだけです。自院のホームページを誰が保守しているか分からない、連絡先が分からない、という場合は、そこを確かめるところから始めてください。確認の進め方や、業者への聞き方でお困りでしたら、アイジェイネットでもご相談を承っています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る