IT・AI
2026年10月21日
PHPに緊急UAF脆弱性、告知文の「AI臭さ」に総突っ込み
2026年10月、PHPのsession.upload_progress機能に起因するヒープ使用後解放(UAF)の脆弱性(CVE-2026-109618/-109619)が公表され、Hacker Newsで話題になった。任意コード実行につながりうる重大な欠陥だが、スレで盛り上がったのは脆弱性そのものより、告知サイトの文章が「AIが書いたような読みにくさ」だという指摘だった。一方で実務的には、nginxでmultipart/form-dataのリクエストを止める設定や、Cloudflareでの一時防御など、パッチ前にできる対策も次々と共有された。
PHPのsession.upload_progress機能に、ヒープの使用後解放(UAF)脆弱性(CVE-2026-109618 / -109619)が見つかったという報告。
出典: jackalsyn.com / 元記事はこちら
2
海外の名無しさん
2026-10-21 05:23
この文章は正直読めたもんじゃない。人間が少しでも手を入れた方がよっぽどいい。
20
海外の名無しさん
2026-10-21 05:36
>>2
「攻撃者の足元で」みたいな表現で完全に置いてかれる。文章を読もうとするたびに、脳が驚いているハッカーの姿を想像しようとしてくる。
21
海外の名無しさん
2026-10-21 05:43
>>2
毎日レビューしてた平凡なPR概要みたいな文章だ。「してた」というのは、LGTMの祝福を受けてからもうやめたから。
22
海外の名無しさん
2026-10-21 05:47
>>2
Claudeに3回通したみたいな文章に本当に読める。
3
海外の名無しさん
2026-10-21 06:02
読もうとすると本当に目の焦点が合わなくなる感覚がある。意識の下のレベルで、脳がAI生成文から自分を守ろうとしているとしか思えない。自分で思っていたより、これは一種の“認知毒”なのかもしれない。
26
海外の名無しさん
2026-10-21 06:23
>>3
FirefoxならCtrl+Alt+Rでリーダービューにできる。それで見やすくなるわけでもないけど、どうせすぐ忘れる話だし。リーダービューの初期設定も調整しておくと快適さが違う。
5
海外の名無しさん
2026-10-21 05:37
PHP開発者の一人によると、これは全く別のエクスプロイトの可能性があるらしい(リンク参照)。応急策としてはSELinuxかAppArmorが一番良さそうだ。
27
海外の名無しさん
2026-10-21 05:48
>>5
それは読み違えてる。彼が言っているのは、エクスプロイト全体のうちmultipartのUAF部分は、session.upload_progress.enabled = offなどのini設定では直せないということ。
6
海外の名無しさん
2026-10-21 06:24
未パッチのサイトの前にCloudflareを置いていれば防げるのか気になる。今日すでに管理ルールセットを2回更新してるけど、内容は明言されてない。
28
海外の名無しさん
2026-10-21 06:26
>>6
「うちでカバーしてるよ」とCloudflareのCTO、Dane Knechtが発言。
29
海外の名無しさん
2026-10-21 06:28
>>6
PHPがパッチされるまでサイトを稼働させ続けたいなら、最低限Cloudflareの裏に置くべきだと思う。もう一つの手は、multipartのアップロードがPHPに届く前にブロックすることだね。
7
海外の名無しさん
2026-10-21 05:32
この騒ぎが収まるまで、うちのアプリのサーバーは落としておいた。
30
海外の名無しさん
2026-10-21 05:53
>>7
そう、サーキットブレーカーこそ最強のファイアウォールだよな!
8
海外の名無しさん
2026-10-21 05:33
誰かがClaudeにハッカーのロールプレイをさせてるってことか…うわぁ。
9
海外の名無しさん
2026-10-21 05:20
以前、もっとまともな出典付きで投稿されてたよ(リンク)。
31
海外の名無しさん
2026-10-21 05:26
>>9
今回のはエクスプロイトそのものを主張してる。もう一方はPHP側からの詳細のない告知だった。
32
海外の名無しさん
2026-10-21 05:29
>>9
どこがもっと良い出典なんだ、今回の投稿はPoCだぞ?あっちは単なる警告でしかない…お前は自分が「劣ってる」と言ってるものすら読んでないし、実際とは違うものを勧めてる(それも読んでないからだろ)。
10
海外の名無しさん
2026-10-21 05:59
Nginxを使っているなら、PHPへのmultipart送信を禁止することで一時的に防げる。多くのフォームにとっては結構な問題になるけど、ハッキングされるよりはずっといい。設定例: if ($http_content_type ~* "multipart") { return 403; } 既に挙がっているようにphp.iniでsession progressをオフにすることもできるけど、それだと全てのケースを防げるわけではなさそう: session.upload_progress.enabled = Off
11
海外の名無しさん
2026-10-21 05:53
アップロード機能が不要なPHPサイトの場合、これを防ぐにはmultipart/form-dataのPOST処理をどこまで無効化すればいいんだ?
34
海外の名無しさん
2026-10-21 06:09
>>11
PHPに届く前にWebサーバー側でブロックすればいい。このスレ内で「nginx」や「.htaccess」をCtrl+Fすれば設定例が見つかる。
12
海外の名無しさん
2026-10-21 05:51
ダウンロードしたファイルのshaが記事記載の値(a29d640e…)と一致する人いる?
13
海外の名無しさん
2026-10-21 05:43
この「use-after-free」の「use」が任意コード実行だということ。そりゃかなりヤバい。
14
海外の名無しさん
2026-10-21 05:41
.htaccessの設定例: <If "req('Content-Type') =~ /multipart/i"> Require all denied </If>
15
海外の名無しさん
2026-10-21 06:09
これを公表しておきながら修正版の公開に24時間のエンバーゴをかけるのは、internals(PHP内部チーム)が今までやった中で圧倒的に無責任な行為だ。この20年、彼らのとんでもない所業はいくつも見てきたけど。
16
海外の名無しさん
2026-10-21 05:37
Debianのリポジトリ経由でPHPを動かしてるサーバーはどうなるんだ?リポジトリはどれくらい早く更新される?
35
海外の名無しさん
2026-10-21 05:55
>>16
Redditでは、Ondrejがこの問題を把握しているとの情報があった。
18
海外の名無しさん
2026-10-21 05:40
「すべて盗め」「何も残すな」か。寒いスクリプトキディごっこのたわ言だな。
19
海外の名無しさん
2026-10-21 05:32
正直、PHPでいい経験をしたことが一度もない。関わったPHPプロジェクトはどれも、最終的にwww-dataユーザーとしてMoneroマイナーに感染してた。
37
海外の名無しさん
2026-10-21 06:30
>>19
それはたぶん、未パッチのプラグインが山盛りのWordPressしか触ってこなかったからじゃないかな。どの言語にも脆弱性はある。PHPが他より多いわけじゃない。
23
海外の名無しさん
2026-10-21 05:29
>>2
自分もほぼ同じことを書いていた(他の人の意見を読む前にコメントを書き始めるようにしてるので、直接の影響は受けていない)。同じ結論に行き着いてよかった。このサイトは見た目は面白いけど、同時にかなりウザい。
24
海外の名無しさん
2026-10-21 05:40
>>2
モバイルだとフォントがひどくて、カンマとピリオドの区別が全くつかない。
25
海外の名無しさん
2026-10-21 05:24
>>2
うん、同意。
36
海外の名無しさん
2026-10-21 05:32
>>17
見つけてからたぶん15分後で、数時間後には修正されるようなエクスプロイトのために、手作りでサイトをコーディングする理由がどこにある?ただ文章はもっと良くできたと思うけど。
42
海外の名無しさん
2026-10-21 06:17
>>36
このひどい見た目にするより、読める程度の最低限の整形でテキストを貼る方が手間が少ないからだよ。
43
海外の名無しさん
2026-10-21 05:39
>>36
まあHeartbleedやShellshockは見た目のいい専用サイトがあったから、もう少し期待してもいいんじゃない?
38
海外の名無しさん
2026-10-21 05:42
>>20
LLMなのか、それともブロークン英語なのか?「thumb rule(rule of thumbの言い間違い)」みたいな感じを思い出す。
39
海外の名無しさん
2026-10-21 05:56
>>21
でもAIが作った音楽は、AI製のコードよりもっとひどいよ。どっちもひどいけど、このSuno(AI作曲サービス)の曲を良いと思ってる人への敬意はもう完全に失った。あのAIミュージシャンの声、本当に大嫌いだ。
40
海外の名無しさん
2026-10-21 06:19
>>22
自己重要感に満ちた話し方をしない別のAIに通した方がいいと思うけどね。
41
海外の名無しさん
2026-10-21 06:29
>>28
ちょっと曖昧すぎて安心できないな。
44
海外の名無しさん
2026-10-21 05:47
>>43
向こうは準備する時間がもっとあったからね。
この話題の背景と論点
session.upload_progressは、PHPがファイルアップロードの進行状況をセッションに書き込むための機能で、アップロード中のmultipart/form-dataを解析する処理に起因するヒープの使用後解放(UAF)が発見された。UAFは解放済みメモリ領域への不正アクセスから任意コード実行につながりうる重大な脆弱性クラスであり、今回も例外ではない。スレで割れたのは脆弱性そのものの評価ではなく、告知文の文体への評価だった。多くのレスが「AIが書いたような読みにくさ」を指摘し、人間が書いた平易な説明を望む声が目立った。一方で、脆弱性の公表から修正版公開までに約24時間のエンバーゴが設けられたことに苦言を言う声もあった。文体への不満と脆弱性の深刻さは別問題であり、nginx側でmultipart/form-dataのリクエストを遮断する、あるいはsession.upload_progress.enabledをOffにするといった応急策はパッチ適用までの実務的な防御として有効だが、根本的にはPHP本体の修正を適用する必要がある点は変わらない。
※本記事は海外掲示板 Hacker News のスレッド「PHP session.upload_progress heap UAF」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。