PHP2Shell：grommunio向けのパッチ適用済みPHPパッケージが利用可能になりました
PHP2Shell の重大な脆弱性を緩和する更新済みの PHP パッケージが、grommunio のコミュニティリポジトリおよびサポート対象リポジトリの両方で利用可能になりました。今すぐシステムのセキュリティ対策を講じることを強く推奨します。
PHP2Shellとは？
PHP2Shellとは、PHPランタイム自体に存在する2つの重大な脆弱性、CVE-2026-109618(opens in a new tab)およびCVE-2026-109619という2つの重大な脆弱性の総称であり、それぞれCVSS 9.2と評価されています。これらの脆弱性を悪用すると、認証されていない攻撃者が、アプリケーションコードが実行される前に、たった1回のリクエストでリモートからコードを実行できてしまいます。つまり、サーバー上のPHPアプリケーションが完全に安全であっても、サーバーが攻撃にさらされる可能性があります。
- CVE-2026-109618: メモリ不足状態によって割り当てが中断されると、リクエストデータが部分的に初期化されたままになる可能性があり、リクエストのクリーンアップ処理において、その無効なデータが有効なものとして扱われる恐れがあります。
- CVE-2026-109619: リクエストが所有する内部状態が、それが指すメモリの寿命を超えて存続する可能性があるため、同じワーカーに対する後続のリクエストが、その状態がリセットされる前にそれを使用してしまう恐れがあります。
grommunioが使用するPHP-FPMを含め、Webリクエストを処理するすべてのPHPインストール環境が影響を受けます。これらの脆弱性の詳細は、調整された公開日前に漏洩しており、セキュリティ研究者からはすでに実環境での悪用試みが報告されています。 アップストリームのPHPは修正版（8.5.12、8.4.27、8.3.36、8.2.35）をリリースしており、利用可能な回避策では一部の攻撃経路しか封じ込められないため、更新が唯一の安全な選択肢であると述べています。
参考情報：Help Net Security、The Hacker News、SecurityWeek、およびwatchTower FAQ。
更新方法
更新には、以下の数個のコマンドを実行するだけです：
zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpmzypper ref や zypper up の代わりに、grommunio Admin の Web アップデータ を使用するか、コマンドラインで grommunio-update を実行することもできます。 いずれの場合も、その後 php-fpm を再起動してください。これにより、すべてのワーカーがパッチ適用済みの PHP バイナリを実行するようになります。
当社の自動テストおよび多数の手動検証チェックでは、副作用は確認されていません。とはいえ、現段階では、副作用が一切ないことを保証できる者はいません。 すべてのテストは正常に完了しており、当社のすべてのラボ環境において、緩和策が有効であることが実証されています。
おまけ：OPcache による Web インターフェースの高速化
しばらく前から、grommunio では php8-opcache をインストールできるようになっています。 OPcacheはプリコンパイルされたPHPコードをメモリ内に保持するため、grommunio Webの動作が著しく高速化されます。そのため、上記に zypper in php8-opcache コマンドを含めています。すでにインストール済みの場合は、zypperは単にその処理をスキップします。
公式のSUSEアップデートに先駆けたアウトオブバンドパッケージ
これらのパッケージは、SUSEが提供する公式パッケージとは別に、私たちが独自にビルドして提供するアウト・オブ・バンド更新です。当社のビルドインフラとテストパイプラインのおかげで、SUSEの公式メンテナンス更新が利用可能になる前に、これらをリリースすることができました。 私たちはこれを誇りに思っており、迅速な対応をしてくれたチームに感謝しています。
SUSEが独自の修正済みPHPパッケージを公開次第、grommunioリポジトリから当社の暫定パッケージを削除します。これにより、SUSEが提供するパッケージが再び優先されるようになります。 その際、システム上のパッケージは別のベンダーから提供されるものとなり（バージョン番号が低い可能性もあります）、zypperは自動的に切り替えを行いません。その際には、次のように明示的にベンダーの変更を許可する必要があります：
zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpmその手順が必要になった際には、具体的な手順とともにご案内いたします。
SUSE で grommunio を実行していない場合
Debian、Ubuntu、その他のディストリビューションでは、PHP は各ディストリビューションから提供されます。ディストリビューションが提供する PHP のセキュリティ更新プログラムをインストールし、その後 php-fpm を再起動してください。
ご質問はありますか？
詳細は追ってご案内いたします。議論や最新情報は、当社の コミュニティ でご確認いただけます。サブスクリプションをお持ちのお客様は、grommunio サポートに直接お問い合わせください。
