CISA が既知の悪用された脆弱性カタログにPHPの重大な脆弱性2件を追加

2026年10月26日、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は実際に悪用が確認された脆弱性カタログ（KEV）にPHPの新たな脆弱性2件を追加しました。連邦政府機関に対して迅速な修復を義務付けるとともに、すべての組織に向けリスクに基づく脆弱性管理の徹底を促しているとのことです。

悪意のある攻撃者がPHPのメモリ破損や内部リクエスト状態の欠陥を突き、遠隔から不正なコードを実行したりシステムを侵害したりする手法が想定されます。特にWebサーバー等でWebアプリケーション基盤としてPHPを運用している環境全般が主な標的になるとされています。

この脆弱性で根本的な問題となっているのが、プログラムにおけるメモリ管理の不備や内部処理状態の管理欠陥といった基本的な実装上の弱点です。攻撃者にシステムの完全な制御を許す重大なリスクに繋がるとして即時パッチ適用が呼びかけられています。