PHPのTLS確立失敗によるサービス拒否の脆弱性CVE-2026-12184
PHPのChangeLogは、https URLとプロキシを設定したfile_get_contentsでセグメンテーション違反が起きる不具合GH-21468の修正を、CVE-2026-12184の修正として記載した［1］。Ubuntuの告知によると、PHPは一部のTLSの確立の失敗を正しく扱わずにNULLポインタ参照を起こし、攻撃者がPHPを異常終了させてサービス拒否に至らせるおそれがある［8］。
脆弱性の内容
Debianのセキュリティトラッカーは、リモートのサーバーとのTLSの確立に失敗すると、リモートからのサービス拒否に至りうると説明した［5］。PHPの開発チームは、php-srcのGitHubにアドバイザリGHSA-mhmq-mmqj-2v39と不具合の報告GH-21468を掲載した［3、4］。
Daily CyberSecurityの2026年7月6日の記事によると、HTTPSのストリームがTLSの確立に失敗すると、PHPはそのストリームを閉じてNULLにする［14］。続く後始末の処理は、閉じたストリームのpeer nameをリセットしようとする［14］。記事は、PHPのアドバイザリが期限切れか無効な証明書でこの欠陥に達すると説明していると書いた［14］。1回の異常終了で全ワーカーが一度に止まりうることと、細工したペイロードが要らず、リモートのサーバーが引き起こせることも報じた［14］。
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| CVEの状態 | RESERVED（CVEレコードは存在しない） | CVE Program | ［12］ |
| NVDの検索結果 | 該当なし | NIST | ［13］ |
| 深刻度 | moderate、CVSS:3.1の基本値5.9（AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H） | SUSE | ［9］ |
| 深刻度 | Medium、CVSS v3の基本値5.9 | Amazon Linux | ［11］ |
| 優先度 | Medium | Ubuntu | ［7］ |
| 更新のセキュリティ上の影響 | Low（RHSA-2026:48170） | Red Hat | ［10］ |
| CVSS v4 | 8.2（High） | Daily CyberSecurity | ［14］ |
| 悪用の状況 | 確認された悪用はまだなく、修正がある | Daily CyberSecurity | ［14］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | PHPの開発チーム | PHP 8.5.6と8.4.21をセキュリティリリースとして公開した | ［1、2］ |
| 2026年 | Debian | php8.4のセキュリティ更新を出した | ［6］ |
| 2026年 | Amazon Linux | Amazon Linux 2023のphp8.4とphp8.5を修正した | ［11］ |
| 2026年 | PHPの開発チーム | PHP 8.3.32をセキュリティリリースとして公開した | ［1、2］ |
| 2026年 | SUSE | SUSE-SU-2026:22635-1を出した | ［9］ |
| 2026年 | Ubuntu | USN-8564-1を出した | ［8］ |
| 2026年 | Amazon Linux | Amazon Linux 2023のphp8.3を修正した | ［11］ |
| 2026年 | SUSE | SUSE-SU-2026:3164-1を出した | ［9］ |
| 2026年 | Red Hat | RHSA-2026:48170を出した | ［10］ |
対象の製品と版
Daily CyberSecurityは、影響を受ける版を8.3.32・8.4.21・8.5.6より前と報じた［14］。Debianは、8.3以降にだけ影響するとして、php8.2とphp7.4を影響なしとした［5］。UbuntuのセキュリティチームはCVEのページの注記で、欠陥が8.3.23で入ったとし、入れたコミットを挙げた［7］。修正のコミットは、php8.3でfc0f25f、php8.4とphp8.5で7782b88とした［7］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（trixieのphp8.4） | fixed | 8.4.21-1~deb13u1（DSA-6256-1）〔注2〕 | ［5］ |
| Debian（php8.2、php7.4） | not-affected | - | ［5］ |
| Ubuntu（26.04 LTSのphp8.5） | Fixed | 8.5.4-0ubuntu1.2（USN-8564-1。影響を受けたのは26.04 LTSだけ） | ［8］ |
| SUSE（php8） | Released | php8-fpm 8.3.32-150700.3.15.1以上、コンテナbci/php-fpm:8.3.32-24.22など | ［9］ |
| Red Hat（RHEL 10.2のphp） | 8.3.32へのrebase（理由にCVE-2026-14355とCVE-2026-12184を挙げた） | RHSA-2026:48170〔注3〕 | ［10］ |
| Amazon Linux 2023（php8.3） | Fixed | ALAS2023-2026-1961 | ［11］ |
| Amazon Linux 2023（php8.4） | Fixed | ALAS2023-2026-1726 | ［11］ |
| Amazon Linux 2023（php8.5） | Fixed | ALAS2023-2026-1733 | ［11］ |
| Amazon Linux 2023（php8.1） | No Fix Planned | - | ［11］ |
修正と回避策
PHPの開発チームは、8.3.32の告知でPHP 8.3の全利用者にこの版への更新を勧めた〔注1〕［2］。8.5.6と8.4.21の告知にも、それぞれの系列の全利用者に向けた同じ勧めがある［2］。
未公表の事項
- 開発元が示したCVSSの値とCWE
- 発見者と報告の経緯
- 悪用の有無についての開発元の説明
注
出典
当事者
- ［1］The PHP Group『PHP 8 ChangeLog』（2026年7月2日公開）
- ［2］The PHP Group『News Archive - 2026』（2026年7月2日公開）
- ［3］The PHP Group『Failure to setup TLS with a remote server can result in a remote DoS』（公開日不明、保存記録のみ） 保存記録
- ［4］The PHP Group『Segfault in file_get_contents w/ a https URL and a proxy set』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［5］Debian Project『CVE-2026-12184』（公開日不明、2026年11月7日閲覧）
- ［6］Debian Project『[DSA 6256-1] php8.4 security update』（2026年5月8日公開）
- ［7］Canonical Ltd.『CVE-2026-12184』（2026年7月3日公開、2026年7月20日更新）
- ［8］Canonical Ltd.『USN-8564-1: PHP vulnerabilities』（2026年7月20日公開）
- ［9］SUSE LLC『CVE-2026-12184 Common Vulnerabilities and Exposures』（公開日不明、2026年11月7日閲覧）
- ［10］Red Hat, Inc.『RHSA-2026:48170 - Security Advisory』（2026年7月29日公開）
- ［11］Amazon Web Services, Inc.『CVE-2026-12184』（2026年7月6日公開、2026年9月10日更新）
公的機関
- ［12］The MITRE Corporation『CVE-2026-12184』（公開日不明、2026年11月7日閲覧）
- ［13］National Institute of Standards and Technology『NVD CVE API 2.0（cveId=CVE-2026-12184）』（公開日不明、2026年11月7日閲覧）
報道機関
- ［14］Daily CyberSecurity『PHP Patches Remote DoS Flaw CVE-2026-12184 and an OpenSSL Memory Corruption Bug』（2026年7月6日公開）
- ［15］株式会社ニュースガイア『「PHP」にセキュリティ更新 - 複数の脆弱性を修正』（2026年7月3日公開）
更新記録
- 2026年7月11日：公開した。
- 2026年7月20日：UbuntuのUSN-8564-1（出典8）とCVEのページの7月20日の更新（出典7）を加え、リードと「脆弱性の内容」「時系列」「対象の製品と版」を改めた。
- 2026年7月29日：Red HatのRHSA-2026:48170（出典10）を「脆弱性の内容」「時系列」「対象の製品と版」と注に加えた。
- 2026年9月10日：Amazon LinuxのCVEのページの9月10日の更新（出典11）で示された深刻度と各パッケージの修正の状態を「脆弱性の内容」「時系列」「対象の製品と版」に加えた。