PHPのLongjmpバグ:CVE-2026-109618とCVE-2026-109619

On 21 October 2026, UKの国立サイバーセキュリティセンターは、任意の測定で、異常に制限されたアラートを発行しました。PHPの重要な問題は、攻撃者がanyのWebサーバーでPHPを実行しているコマンドを実行することを可能にします。 CVE-2026-109618 と CVE-2026-109619 &mdash の背後にある 2 つの CVE は、CVSS 4.0 に基づく 9.2 の評価され、リモート・コードの実行欠陥であり、循環中のコードの校正を持っています。 あなたの不動産が公共のインターネットに触れると、非常に良いチャンスのPHPは、爆破半径のどこかにある。

なぜこのものが異なる

PHPの脆弱性がルーチンである。 フレームワークのdeserializationバグ、プラグインのパストラバース、CMS&mdashのSQLインジェクション、これらは脆弱性管理のパンとバターであり、それらはほとんど特定のアプリケーション、特定のモジュール、または特定の構成にスコープ付けられます。 CVE-2026-109618およびCVE-2026-109619はそれではないです。 彼らは、インタプリタ自体に住んでいます, 機械類のPHPでは、致命的なエラーや不足分の条件を処理するために使用します. つまり、どのアプリケーションが実行しているかによって、その露出は定義されていないことを意味します。しかし、PHP を all.

で実行するという事実によって、 その差別は、あなたがどのように反応するかについて非常に重要です。 CMSプラグインが脆弱な場合、プラグインをパッチしたり、無効にします。 ランタイムが脆弱な場合、そのランタイム上のすべてのアプリケーションは、Fluw &mdashを継承します。カスタマーポータル、内部のwiki、忘れられたマーケティングのマイクロサイト2019から、ベンダーは静かにPHPスタックを文書化せずにバンドルします。 NCSCのガイダンスは、まさにこれを反映しています。PHPのインストールを generally と特定します。 注意:NCSCは、anyバージョンのPHPを使用して組織が影響を受け、最新の固定リリースに更新する必要があります。 ベンダーのアドバイザリーが修正が現在確認されるまで、最近のバージョンが安全であると仮定しないでください。

2つの欠陥の解剖学

Both vulnerabilities トレースバックlongjmp()、CライブラリメカニズムPHPは、致命的なエラーや非記憶状態が発生したときにスタックを緩和するために使用します。 通常の操作では、これは制御されたベールアウトです。何かが間違っています、通訳者は既知の安全なポイントに戻り、要求はきれいに引き裂かれます。 そのベールアウトが正確に間違った瞬間に起こるときに発生するバグは、内部状態の矛盾を残します。

CVE-2026-109618: 中断された初期化

最初の欠陥は、制御フロー管理の問題です。 外部記憶状態が lengthjmp() をトリガーする場合、内部リクエストデータが部分的に初期化される場合、クリーンアップパスは有効だったため、無効で初期化されたメモリを処理できます。 結果はメモリ破損です。 攻撃者は、トリガー&mdashを制御しているため; OOM条件は、細工されたリクエスト&mdashでprovokeできるものです。 ユニット42は、単語の擁護者であるreliableとして悪用を説明しています。 信頼できるRCEは、好奇心のある研究者と作業上の悪用の間の障壁が低いことを意味します。

CVE-2026-109619:その記憶を上回る状態

2番目の欠陥はサブトラーであり、いくつかの方法では、より深刻です。 ここでは、メモリをバックアップした後に内部状態を要求して生き残ることができます。 PHP のワーカー — リクエストを処理するプロセス、特に PHP-FPM &mdash のような永続的なモデルの下にあるプロセス。 その後、次のリクエストをピックアップし、通常の初期化がリセットする前に、その状態を stale する場合があります。 効果は、同じ作業者によって処理された次の1つに対して中毒の相続を残すことができます。 これらのフリード領域は、後で読み込むか、または分岐し、ヒープレイアウトを十分に制御することで、任意のコードの実行へのパスになります。

Exploit パス

CVE		Root は
CVE
CVE-2026-109619		致命的なエラー処理は、フリードメモリ	を指すグローバルに残します 同じworker

で後でリクエストによって再使用される状態を固定して下さい どちらも未使用です。 &mdashにログインするのは何もないので、バイパスへのログインはありません。 攻撃面はリクエスト自体で、アプリケーションコードが問題で言うまでもありません。 これは、スコアを 9.2 にプッシュするもので、NCSC の言語を直接させるものです。

露出のスケール

Palo Alto Networks の Cortex Xpanse テレメトリは、これらの CVE に潜在的に脆弱な 22.6 万以上の露光インスタンスを識別しました。 これにより、指紋が脆弱なPHPランタイムを提案するインターネット・フェース・サービスが数えられており、機器、組込み管理インターフェイス、および妥協されたワークステーションから到達可能な内部システムに要因が生じたら、ほとんど確実に不足しています。 ユニット42はまた、少なくとも1つの欧州政府は、そのウェブサイトをオフラインで予防策として取ったと報告しています。 概念の証拠がそれを見ていた人々によってどのように真剣に受け取られたかについてあなたに言う決定。

擁護者にとって、不快な質問は「PHPを実行しますか?」ではなく、「PHPを実行していない場所」ではありませんか? コンテンツ管理システム, チケットプラットフォーム, CRMのフロントエンド, 監視ダッシュボード, ウェブUIとネットワーク機器, ビルドサーバー, コンテナベースイメージは、すべてのPHPの通訳下で定期的に出荷します. PHP の依存性を持つソフトウェア製品の NCSC-NL の在庫は、第 2 項の露出をキャプチャするので、正確には有用な出発点です。

注意: これは、パッケージマネージャによって報告されたバージョン文字列だけをスキャンするというような脆弱性の最初の48時間の一般的な間違いです。 アプライアンスとバンドルされたスタックは、パッチまたはカスタマイズされたPHPビルドを頻繁に出荷し、真のパッチレベルを広告しません。 バージョンの検出をヒントとして扱い、頂点ではありません。

優先順位で何をするか

NCSCの優先行動は、この形状のインシデントに対して感激的にシーケンスされているため、厳密に続く価値があります。

Discover PHP どこでも、インターネットファーストに直面しています。 バージョンでフィルタリングしないでください。 サーバー、コンテナ、およびアプライアンスを介したインタプリタのインストールを列挙し、外部のリーダビリティでランク付けします。
• 最新の固定PHPリリースへのパッチ。 PHP プロジェクトは、セキュリティの更新を公表しました。それを適用し、将来のリリースを追跡し続けます。 エンド・オブ・ライフ・ブランチにある場合は、バック・ポーティングではなく、完全にサポートされているバージョンに移動します。
• サードパーティのベンダーを見る。 PHP をバンドルするアプライアンスとサービスは、独自のアップデートが必要です。 ベンダーのアドバイザリーを継続的に監視します。
• パッチ&mdashに加えて、PHPチームの硬化型ガイダンスを適用します。 次のインタープリタの欠陥に対する深さの防衛。
• すぐにパッチを当てることができない場合は、 は PHP チームによって公開された一時的な緩和を適用します。 誤っても遅すぎる場合は、システムをオフラインで取ります。
• システムを更新または無効にできない場合は、 は、妥協の証拠と、攻撃者インストールしたバックドア before のアップグレードの証拠についてそれを評価します。 侵入に対するパッチは侵入者を削除します。

その最後のポイントは重点に値する. これらは、概念の公的な証拠と未認証のRCE欠陥です。 開示と搾取の間のウィンドウは、数週間ではなく時間単位で測定され、妥協された PHP のワーカーは、 &mdash を非表示にする優れた場所です。攻撃者は、Web サーバーの特権、データベースの資格、およびそのアウトバウンドネットワークのポジションを継承します。 システムが公開され、有意義な期間にパッチが切れた場合は、そうでなければ表示できるまで妥協を想定し、その意図的に実行する社内の能力が不足している場合は、NCSC 関連のインシデント・レスポンス・プロバイダーを招きます。

検出と検証

ペンテストの観点から、通訳レベルのバグのある実践的な課題は、アプリケーションログにいくつかの指紋を残すことです。 OOM をトリガーすると、WAF &mdash への攻撃のように見えません。大きなアップロード、病理学的レグックス、深くネストされた JSON ボディ、または単にあまりにも多くを求めるリクエストのように見えます。 アプリケーションロギングが参照するレイヤーの下に悪用が起こります。

つまり、検出はインフラ信号に傾く必要があります。予期しないワーカーがクラッシュし、再起動し、PHP-FPMプールの異常なメモリ圧力、コアダンプは、彼らがそうでなければならず、Webサーバーから非familiar先への接続を外します。 予防面では、ネットワークセキュリティ制御による仮想パッチングは時間&mdashを購入することができます。 Palo Altoの高度な脅威防止 Plus with Frontier Virtual Patchingは、署名543004を介してこれらのCVEを10月2026&mdash以来カバーしました。 しかし、仮想パッチは橋であり、目的地ではありません。 通訳者は、攻撃者が行う前に、自身の露出を検証したい場合は、実際の修正が必要です。あなたが見つけたすべての通訳者のパッチレベルを確認し、管理された環境でOMと致命的なエラーパスを行使し、作業者の状態が要求間で漏れないことを確認することです。 つまり、アプリケーション層のスキャンが見逃す傾向にあるランタイムレベルの評価が正確にの一種で、集中したペネトレーションテストがこのクラスの脆弱性を保ち続ける場所です。

より大きいレッスン

CVE-2026-109618とCVE-2026-109619は、PHPがメモリセーフティバグ&mdashを持っていたことではありません。 最終的には、すべての大きなCコードベースが行われます。 通訳者が攻撃面の一部であり、少なくとも慎重に、ほとんどの組織の在庫であることを思い出させるものです。 弊社では、アプリケーションを親密に把握し、ランタイムを完全に把握する傾向があります。 実行時間に欠陥のある土地がある場合、その非対称は脆弱性になります。

このクリーンに通った組織は、既に「PHP が実行されている場所、そしてどのバージョンにいるか」と信頼できる答えを持っていたものになります。 — そして、それはワンオフスプレッドシートではなく、生きている在庫として答えを処理しました。 10月21日にその答えがなかった場合は、今週は最も価値のあるものになるでしょう。次の通訳者の欠陥の先は必然的に続きます。