最近公開されたPHP Session Upload ProgressのUse-After-Free脆弱性（CVE-2026-109618 / CVE-2026-109619）について、TeamT5では関連する攻撃手法を把握しており、今後もThreatSonar Anti-RansomwareおよびMDRサービスを通じて、お客様環境における不審な攻撃活動を継続的に監視し、潜在的なセキュリティリスクの低減を支援します。

脆弱性の概要

CVE-2026-109618

PHPでは、メモリ不足（OOM：Out of Memory）エラーが発生した際、longjmp()を使用して現在の実行コンテキストから抜け、そのリクエストの処理を中止します。

しかし、一部の実行環境ではこの処理が適切に考慮されておらず、メモリ割り当てが行われる前の段階で、一部のリクエストメモリが初期化されていない状態のまま残る場合があります。その後のリクエストのクリーンアップ処理において、こうしたメモリが読み取られたり、その内容に基づいて処理が分岐したりする可能性があります。

複数の方法でOOMを発生させることで、この問題を安定して引き起こすことが可能であり、最終的にリモートコード実行（RCE）につながるおそれがあります。

  • 公式セキュリティアドバイザリ：リンク

CVE-2026-109619

PHPには、リクエストメモリを一時的に参照する複数のグローバル状態があります。

一部の状況では、これらのグローバル状態が適切にリセットされなかったり、リセット後に再びデータが設定されたりすることで、リクエストメモリが解放された後も、そのメモリを参照し続ける場合があります。

その後のリクエストでは、これらの状態が完全に初期化される前に、すでに無効となった内容が読み取られたり、その内容に基づいて処理が分岐したりする可能性があります。複数の方法でこの問題を引き起こすことができ、リモートコード実行（RCE）につながるおそれがあります。

  • 公式セキュリティアドバイザリ：リンク

PHPをご利用の環境では、PHP公式のセキュリティアドバイザリに従い、修正済みバージョンへアップデートすることを推奨します。

また、TeamT5では、お客様が脆弱性の影響範囲を把握し、必要な対応を進められるよう、以下の検知・資産棚卸しと修正対応の通知を支援 しています。


1. ThreatSonar Anti-Ransomware：PHPに関連する攻撃活動を継続的に監視

ThreatSonar Anti-Ransomwareには、PHPに関連する複数の脅威検知ルールが実装されており、攻撃者によるPHPを利用した悪意のあるコマンド実行、WebShell、Reverse Shellなどの不審な挙動の検知を支援します。

主な関連検知ルールは以下のとおりです。

  • php command reverse shell

  • php_cgi_spawn_shell

  • php_cgi_shell_exec_lolbas

  • php-cgi webshell lolbas

  • W3wp Suspicious php-cgi.exe process execution

TeamT5では、今後もこれらのCVEに関連する攻撃手法や脅威インテリジェンスを継続的に注視し、ThreatSonarを通じてお客様環境の不審な活動を監視します。

また、最新の攻撃動向を踏まえながら、検知能力の評価・強化を継続していきます。

2. MDRサービス：PHP利用端末の資産確認と修正対応を支援

TeamT5 MDRサービスをご利用のお客様については、今後、お客様環境内でPHPを利用しているエンドポイントの確認を支援します。

確認結果をもとに、既存の連絡経路を通じてPHPのバージョン確認や、必要な脆弱性修正対応についてご案内します。

資産の把握と継続的な脅威監視を組み合わせることで、影響を受ける可能性のあるシステムに優先的に対応し 、脆弱性が悪用されるリスクの低減を支援します。

3. ThreatSonarの脅威ハンティング機能：PHP利用端末をお客様自身で確認

お客様自身でも、ThreatSonarのThreat Hunter（脅威ハンティング）機能を利用して、PHPがインストールまたは実行されている可能性のあるエンドポイントを検索できます。

推奨する検索方法は以下のとおりです。

  • Windows： Hunting Tagで「Co The Php Group」を検索

  • Linux： ファイル名で「~php-fpm」を検索

これらの検索により、PHPを利用している可能性のあるエンドポイントを確認し、PHPのバージョン確認、脆弱性の影響範囲の評価、修正対応の計画に活用できます。

なお、検索結果はThreatSonarが収集しているエンドポイント情報に基づきます。検索結果が表示されない場合でも、そのエンドポイントにPHPがインストールされていないとは限りません。

OSのパッケージ情報やインストール済みソフトウェアの一覧とあわせて確認することを推奨します。

TeamT5による脆弱性対応支援

TeamT5では、ThreatSonar Anti-Ransomwareによる脅威検知、ThreatSonar（脅威フォレンジック分析プラットフォーム）のThreat Hunter（脅威ハンティング）機能による資産確認、MDRサービスによる継続的な監視を組み合わせ、企業が脆弱性の影響範囲を把握し、修正対応を迅速に進めるとともに 、潜在的な攻撃活動を早期に発見できるよう支援します。

なお、現在のPHP関連の検知ルールは、主に不審な攻撃挙動を検知するためのものであり、今回のCVEに特化した脆弱性悪用の検知ルールではありません。

そのため、関連するアラートが発生していない場合でも、脆弱性が存在しないことや、侵害のリスクがないことを意味するものではありません。