Vulnerability Identifier: NR26-10
Priority: 致命的
概要：
PHPランタイムにおいて、2つの重大な脆弱性（CVSS 9.2）が公開されました。これらは、Web requestsを処理するPHPバージョン5.4.0以降に影響します。PHPプロジェクトは、2026年10月21日に修正版をリリースしました。
New Relicのサービスに影響はありません。また、New Relicは自社の環境において、これらの脆弱性が悪用された証拠を確認していません。New RelicのPHPエージェントは顧客自身のPHP環境内で実行されるため、それ自体が脆弱なコンポーネントではありません。
New Relicの計装の有無にかかわらず、PHPアプリケーションを実行している顧客は、引き続きPHPのバージョンを評価する必要があります。
推奨される対応：
New Relicのサービスに関して、必要な対応はありません。それでも、New Relicは、PHPを実行している顧客に対し、修正済みのPHPリリース（PHP 8.5.12、8.4.27、8.3.36、または8.2.35）にアップグレードすることを強くお勧めします。すぐにアップグレードできない場合は、これらのCVEをカバーするWAFルールセットを適用し、アップグレードできるようになるまで、影響を受けるアプリケーションのインターネットへの公開を制限してください。
推奨事項：
- ディストリビューション・パッケージ：
- LinuxディストリビューションおよびLTSベンダーは、事前にパッチを受け取っています。更新されたパッケージについては、ベンダーにご確認ください。
- サポート終了バージョン（PHP 8.1以前）：
- 一部のディストリビューションおよびLTSベンダーはバックポートされた修正を提供しているため、ベンダーに連絡するか、サポートされているバージョンにアップグレードしてください。深刻度が高いため、PHPセキュリティチームは、ソースからビルドする組織やLTSベンダーを持たない組織向けに、PHP 7.4、8.0、および8.1の最小限のソースバックポートも公開しています。
- rpms.remirepo.netのユーザー：
- このボランティアによって維持されているリポジトリには、リリース日にアップデートは提供されません。PHPチームは、ユーザーにディストリビューションパッケージに切り替えるか、ソースからビルドすることを強く推奨しています。
即時のパッチ適用が不可能な場合、組織は、修正が適用され検証されるまで、インターネットに接続されたリソースをパブリックネットワークから分離することを検討する必要があります。
一時的な緩和策：
これらの脆弱性を完全に修正できるのはアップデートのみです。以下の対策は特定の攻撃経路への露出を軽減しますが、インストレーションを安全にするものではありません。
CVE-2026-109618（OOM corruption）：
FPMプールやApacheの設定のphp_admin_valueなど、アプリケーションが上書きできない方法でmemory_limit=-1を設定してください。プール、ディレクトリ、またはアプリケーションの設定によって、有限の制限が元に戻されていないことを確認してください。これにより、制御可能なメモリ制限の失敗は解消されますが、根本的な割り当ての失敗は依然として脆弱なコードパスに到達する可能性があります。
post_max_sizeを低く設定してください：ファイルのアップロードを必要としないアプリケーションには8M、アップロードが必要な場合は32Mとします。upload_max_filesizeをpost_max_sizeより低く保ってください。
Webサーバーまたはプロキシレベルで、デコードされたリクエストサイズ、入力フィールド数、マルチパートのパート数、ヘッダー数、およびネストの深さに対する制限の適用を検討してください。これらの制限は、使用可能なContent-Lengthがないrequestsにも適用する必要があります。
可用性の境界としてコンテナまたはcgroupのメモリ制限を使用し、できれば影響を受けるワーカーのみを強制終了するポリシーを使用してください。代わりにRLIMIT_ASやRLIMIT_DATAを使用しないでください。これらは脆弱な割り当ての失敗を引き起こす可能性があるためです。
CVE-2026-109619（古いグローバル状態）：
session.upload_progress.enabled=0に設定し、すべてのワーカーを再起動します。リクエストの解析前に有効になるphp.ini、FPMプール、またはサーバー設定にこれを適用してください。ini_set()やFPMの.user.iniに依存しないでください。これにより、確認済みのセッションパスはブロックされますが、他のバリアントはブロックされません。
PHP 8.5では、fatal_error_backtraces=0に設定し、すべてのワーカーを再起動します。これにより、確認されている致命的なバックトレースパスのみがブロックされます。
初期化前に診断を出力する、無効または非推奨のリクエストごとの設定を削除してください。error_reporting、display_errors、または @ を使用して診断を非表示にしても、解決にはなりません。
コールバック、アップロードまたはインポート処理、およびクリーンアップでの失敗など、攻撃者が到達できる致命的なエラーや実行タイムアウトを修正してください。
よくある質問：
使用しているPHPバージョンを確認するにはどうすればよいですか？
ホストまたはコンテナでphp -vを実行してください。New Relicが認識しているPHPのバージョンについては、New Relic UIでホストまたはアプリケーションの詳細を確認してください。
New Relic PHPエージェントをアップデートする必要がありますか？
脆弱性はエージェントではなく、PHPランタイムに存在します。PHPのアップデートが必須の修正です。
サポートが終了したPHPバージョンを実行しています。どうすればよいですか？
PHP 8.1、8.0、およびすべての7.xと5.xブランチには、公式の修正は提供されません。ご利用のLinuxディストリビューション（UbuntuやAlmaLinuxなど）がバックポートされたパッチをリリースしているかどうかを確認し、サポートされているブランチへのアップグレードを計画してください。
自分のシステムがターゲットにされたかどうかは、どのようにして確認できますか？
2026年10月21日以降のWebおよびWAFのログを確認してください。公に報告されている指標には、ユーザー・エージェント php2shell-verify/1.0 や /vuln.php への requests が含まれます。また、シェルコマンドを生成するWebサーバーやPHPプロセス、およびWebディレクトリ内の新規または変更されたPHPファイルも確認してください。
パッチを適用するまで、WAFで保護できますか？
WAFはリスクを軽減できます。Cloudflareはこれらの脆弱性に対する緊急WAFルールを公開しており、他のベンダーも同様の保護を提供している場合があります。WAFは一時的な緩和策であり、PHPのアップグレードの代わりにはなりません。
これらの脆弱性について質問や懸念があります。誰に連絡すればよいですか？
これらの脆弱性とNew Relicサービスとの関連についてご質問がある場合は、アプリ内サポートからサポートケースをオープンするか、New Relicのアカウント担当者にお問い合わせください。
関連ドキュメント：
- PHPリリースノート1
- PHPリリースノート2
- NCSC-NL php2shell
- PHPセキュリティアドバイザリGHSA-w8hw-w9fx-j79w
- PHPセキュリティアドバイザリ GHSA-6wmf-4rv5-p3rp
- watchTowr Intelligence
- phpの脆弱性に対するCloudflare WAFの保護
技術的な脆弱性情報：
この通知に関するサポートが必要な場合は、アプリ内サポートからサポートケースを起票してください。
公開履歴：2026年10月23日 - NR26-10 公開