要約

  • 英Ofcomは10月23日、通信事業者とデジタル基盤分野の重要サービス事業者に、PHPの重大な脆弱性二件についてNCSCの助言を急ぎ検討するよう促した。
  • 今後数日から数週間、監督対象のサービスと接触し、既存の規制上の義務に照らして対策の進み具合を把握するという。

サーバーを更新しただけでは、「全部」という言葉を使えない。どの管理画面や関連システムが同じソフトを使うのかを知らなければ、更新済みの範囲も言えないからだ。Ofcomの10月23日の通知は、PHPの問題を通信事業者と重要なデジタル基盤サービスに向けた監督上の話題にした。規制当局は近く対象サービスと接触し、対策をどう進めているか理解すると述べている。

英国NCSCの警報はCVE-2026-109618とCVE-2026-109619を挙げた。一方はメモリー不足時に要求データが中途半端に初期化されたまま処理される問題、もう一方は解放済みメモリーの古い状態が後の要求に残る問題だ。一定の条件では、認証なしの遠隔コード実行につながり得る。PHPは公開サイトだけでなく、通信サービスを支える各種ソフトにも入り込む。まず所在をつかむ必要がある。

PHPプロジェクトは8.5.12、8.4.27、8.3.36、8.2.35で修正した。Linuxディストリビューションなどは修正を旧版向けに取り込む場合があり、導入元の確認も欠かせない。NCSCはPHPの全導入先を洗い出し、インターネットから接続されるものを優先して更新するよう求める。すぐに更新できなければ暫定対策を使い、それも遅れるなら停止を検討する。更新も停止も直ちにできないシステムでは、変更前に侵害の痕跡を調べるよう促している。

Ofcomが公表したのは、監督対象との今後の接触だ。特定企業の被害や処分は記載していない。各事業者に残る問いは具体的だ。どのシステムがPHPを実行し、どの配布元の修正を受け、まだ対策待ちのものを誰が運用判断しているのか。答えをそろえる作業こそ、補修の現場と監督の机をつなぐ。