PHPコミュニティで大きな話題となっている「PHP2Shell」問題に新たな進展がありました。これまでに公表されていた2件のリモートコード実行(RCE)脆弱性に続き、3件目となる脆弱性が発見されたのです。しかし、PHP Foundationはこの脆弱性に対して緊急アップデートを提供しない方針を示しており、その判断が注目を集めています。新たに発見された3件目の脆弱性今回報告された脆弱性には「CVE-2026-115560」が割り当てられています。PHP Foundationによると、この問題は今後の通常リリースで修正される予定であり、緊急パッチの提供は行われません。その理由は、脆弱性を悪用するための条件が非常に限定的だからです。特定のセッションシリアライズ方式が利用されていることに加え、アプリケーション側でセッション関連の設定変更が行われている必要があります。さらに、ファイルアップロードの進捗状況を管理する機能も有効になっていなければなりません。こうした条件が同時に満たされるケースは限られているため、PHP Foundationは実際のリスクは比較的低いと評価しているようです。また、正式な修正が公開されるまでの対策として、session.upload_progress.enabled=0 を設定することで攻撃経路を無効化できると案内されています。PHP2Shell問題そのものは依然として重要3件目の脆弱性の影響は比較的小さく感じられますが。本来のPHP2Shellの問題である「CVE-2026-109618」と「CVE-2026-109619」については状況が異なります。これらはリモートコード実行につながる深刻な脆弱性として扱われており、PHP Foundationはすでに修正版を公開しています。PHPを運用している組織や開発者には、できるだけ早くアップデートを適用することが求められています。脆弱性の公開後、インターネット上ではPoC（概念実証コード）が広く共有され、多数の攻撃試行も確認されています。現時点では、PHP2Shellを利用した大規模な侵害事例は公表されていませんが、セキュリティ研究者からは「攻撃コードの多くは未完成だが、一部には実際にリモートコード実行が可能なものも存在する」との指摘も出ています。被害報告が少ないからといって安心できる状況ではなく、引き続き警戒が必要といえるでしょう。まとめPHP2Shellに関連する3件目の脆弱性が新たに発見されましたが、悪用には複数の特殊な条件が必要なため、PHP Foundationは緊急アップデートを実施しない判断を下しました。一方で、PHP2Shellとして知られる既存の2件の脆弱性については依然として深刻なリスクが存在します。すでに攻撃活動も確認されていることから、PHP環境を運用している場合は最新バージョンへの更新を優先し、継続的にセキュリティ情報を確認することが重要です。[via The Register]