- さくらインターネットは、クラウドデータベースアプライアンスにおいて、2つの深刻なPHPの脆弱性に関連して、phpMyAdmin、phpPgAdmin、pgAdminの利用を停止しました。
- 高市早苗首相はX上で、PHPの修正をその夜に行うか、一時的にウェブサイトを停止するよう事業者に対して要請した。
- この2つのPHP2Shellの脆弱性はともに9.2/10の評価を受け、攻撃者がパッチが適用されていないサーバーでコードを実行することを可能にする。
さくらインターネットは水曜日、2つの深刻なPHPの脆弱性のため、クラウドサービスの一部を凍結した。
その後同日、高市早苗首相はウェブサイト運営者に対し、その夜にパッチを当てるか、一時的にサイトを閉鎖するよう呼びかけた。
Database ApplianceでphpMyAdminの利用停止、再開日未定
さくらインターネットは10月21日午後1時22分（日本時間）に発表したお知らせで、データベースアプライアンスサービスからWeb UIツールを削除するとともに、それらのツールがphpMyAdmin、phpPgAdmin、pgAdminであることを明らかにしました。
Database Clusterサービスは稼働中だ。さくらは再開日の発表を行っておらず、代替期間中はMariaDBおよびPostgreSQL互換のSQLクライアントを利用するよう顧客に案内している。
同社はサービスの中断について顧客に謝罪した。
Cygamesとpixivもまた、PHPの脆弱性に関連して緊急メンテナンスを実施すると発表した。PHPはECサイトをはじめとする多くのWebアプリケーションで広く利用されている。
日本の首相は事業者に対し、11時の修正を指示した
高市のアピールは日本時間午後9時55分にXで投稿された。彼女は「今晩行動を起こすことが非常に緊急性が高い」と述べ、公的なウェブサイトがPHPを使用していないか確認するよう事業者に求めた。
彼女は、日本時間の午後11時に適用予定のパッチを展開する準備をするよう指示した。迅速なパッチ適用が難しい場合、一時的にウェブサイトをオフラインにすることはリスクを軽減する方法の一つだと彼女は記した。
また、彼女はフォロワーに対し、X上の国家サイバーセキュリティ庁のアカウントを参照するよう指示した。
事務局は午後10時57分にアップデートが公開されたと発表し、ユーザーに対し可能な限り早くインストールするよう促しました。また、パッチ未適用のサイトは侵害される可能性があるとして警告を発しています。
木曜日までに、高市氏の投稿は30万8,000件以上の「いいね」と約7万8,000件のリポストを集めた。
修正版：PHP 8.2.35、PHP 8.3.36、PHP 8.4.27、PHP 8.5.12。
Cryptopolitanによると、詳細情報が漏洩したため、PHPのメンテナーは修正プログラムを予定より1日早くリリースしました。「PHP2Shell」と呼ばれる2つの脆弱性（CVE-2026-109618およびCVE-2026-109619として識別）はそれぞれCVSSスコア9.2を獲得しており、攻撃者がパッチ未適用のサーバー上でコードを実行できる可能性があります。
最初の脆弱性は、PHPがメモリ不足状態をどのように処理するかを利用するもの。2番目の脆弱性は、メモリが解放された後も残存するリクエストの状態を利用するもの。
PHPからの advisory では、Webリクエストを処理するすべてのインストール環境がリスクにさらされるとされています。これには、PHP-FPM、mod_phpを使用するApache、php-cgi、FrankenPHP、LiteSpeedが含まれます。
プロジェクトはmod_phpを最も危険な構成と位置づけており、アプリケーションコードが実行される前に発動する実証済みの攻撃手法が存在する。Linuxディストリビューターおよび長期サポートベンダーには、事前にパッチが提供された。
PHP 8.1およびそれ以前のバージョンについては、プロジェクトからさらに更新は提供されない。ただし、セキュリティチームはPHP 7.4、8.0、8.1に対して最小限のソースバックポートを公開した。
サーバーサイド言語が判明しているウェブサイトのおよそ70%がPHPを使用している。日本、EU、米国、ドイツ、オーストラリア、英国も警告を発した。
フィンランド、オランダ、フランスは予防策として政府系ウェブサイトをオフラインにした。Nintendoはパッチ適用のためにサービスを停止した。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
さくらインターネットは何を行ったのか？
さくらインターネットは、10月21日にクラウドデータベースアプライアンスサービスにおけるphpMyAdmin、phpPgAdmin、pgAdminのWebツールを停止した。
高市早苗首相はウェブサイト運営者に何を要請したのか？
高市氏はその夜にPHPパッチを適用するよう要請し、一時的にウェブサイトを停止することがリスクを軽減する有効な手段の一つだと述べた。
PHP2Shellの脆弱性はどの程度深刻なのか？
両方の脆弱性は10点満点中9.2点を獲得しており、未修正のサーバー上で攻撃者がコードを実行することを可能にする。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
