KEV
📰 過去報告：10/22, 10/23, 10/26
PHP において、内部のリクエスト状態が適切に管理されない「stale internal request-state」の脆弱性が発見された。この脆弱性により、認証を受けていない攻撃者が遠隔地からサーバー上で任意のコードを実行することが可能になる。CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性が既に実際の攻撃において悪用されていることを確認しており、広範な Web 資産に甚大な影響を与えるリスクがあるとして、既知の悪用された脆弱性カタログ（KEV）に追加した。CISA は米国の連邦政府機関に、2026年10月29日までの対応を求めている。
10/22、10/23、10/26 に報告した脆弱性（CVE-2026-109619、CVE-2026-109618）が、実際の悪用の確認により CISA の KEV カタログに追加されました。
なぜご自身の組織で確認すべきか自組織のWebサーバー等でPHPを利用している場合、認証不要でリモートから任意のコードを実行される脆弱性が実際の攻撃で悪用されているため。
影響
認証なしでリモートから任意のコードが実行され、サーバー全体の制御を奪取されたり、機密情報が漏洩したりする可能性がある。
対応策
ベンダーの公開情報: https://www.php.net/
