PHPセキュリティ延長保守サービス、 AI時代に対応し脆弱性修正の範囲を拡大

エレクトロニック・サービス・イニシアチブ有限会社(所在地：岡山県総社市、代表取締役社長：大垣 靖男、以下「ESI」)は、保守終了版PHPにセキュリティ修正を提供する「PHPセキュリティ延長保守サービス」(2008年より提供開始)において、AIを活用したソースコード解析およびレビューを修正プロセスに導入し、脆弱性修正の対象範囲を大幅に拡大しました。これにより、PHPプロジェクトがリリースしたセキュリティ修正の移植に加え、保守終了版のPHPにのみ残る脆弱性や、移植作業の過程で発見された問題についても独自に修正を実施しています。

過去3か月(2026年8月～10月)に、PHPプロジェクト(以下「上流」)が公開した96件のセキュリティ修正(このうち15件はセキュリティアドバイザリとして公開されたもの)を移植するとともに、AIを活用した解析とレビューにより、ESI独自の修正として新たに74件の修正を実施しました。対象とする22のリポジトリ(PHP 5.3～8.1の11バージョンと、そのOS別の版)への適用数は延べ1,972件にのぼります。また、発見された問題のうち25件は、現在PHPプロジェクトがサポートしているPHPバージョンにも存在することを確認しました。ESIは今後、これらの問題をPHPプロジェクトへ報告し、修正提案を行うことで、PHPエコシステム全体の安全性向上に貢献します。

背景：AIで変わる脆弱性の発見と悪用

これまでの延長保守は、上流がリリースした修正を保守終了版PHPへ移植することが中心でした。しかし、AIを活用することで古いコードの脆弱性を効率的に発見できる時代においては、公開済み修正の移植だけでは十分とは言えません。保守終了版特有の脆弱性や、修正移植の過程で明らかになる問題についても継続的に発見し、対処していくことが求められています。ESIは、上流の修正を取り込むだけでなく、アクティブなセキュリティ検査による独自の脆弱性調査と修正を実施し、AI時代に対応したセキュリティ延長保守サービスを提供します。

新しい取り組み

1. 過去の上流の修正を再検証

最新リリースの修正だけでなく、上流が過去に新しいバージョンのみで修正した脆弱性についても、対象となる全バージョンを対象に再調査し移植しました。

2. 保守終了版にのみ残る脆弱性への対応

PHP 7でのデータ型の変更(文字列の長さを int から size_t へ変更)などにより解消したため、PHP 5系向けの修正が存在しない整数オーバーフロー等の脆弱性を調査し、修正しました。PHP 5系に対してのみ必要となるESI独自の修正は27件(延べ279件)にのぼります。

3. 移植した修正の検証強化

上流の修正を移植するたびに、AIを活用したコードレビューを繰り返し、上流の修正だけでは対処しきれない問題や、同一箇所に潜在する関連問題を継続的に調査しています。

例えば、PHP 8.2.34の12件のセキュリティ修正を移植した際には、この検証過程で現行のPHPにも存在する問題を新たに25件確認しました。

4. PHPプロジェクトへの脆弱性フィードバックを開始

ESIが発見した問題のうち、現在もサポートされているPHPバージョンに影響するものについては、PHPプロジェクトへの報告および修正提案を開始します。詳細は後述します。

過去3か月の対応実績

過去3か月間に対応した主な脆弱性は、メモリ破壊、情報漏えい、通信の安全性に関する問題、SQLインジェクションやクロスサイトスクリプティングなどのインジェクション、サービス拒否(DoS)などです。

＜区分　上流の修正(PHP 8.2.33、8.2.34)の取り込み＞

件数　　　：15件

延べ適用数：314件

＜区分　上流の修正の強化＞

件数　　　：24件

延べ適用数：92件

＜区分　アドバイザリなし上流の修正のバックポート＞

件数　　　：57件

延べ適用数：364件

＜区分　ESI独自の修正＞

件数　　　：57件

延べ適用数：1,024件

＜区分　バックポート済み修正の強化＞

件数　　　：17件

延べ適用数：178件

＜合計＞

件数　　　：170件

延べ適用数：1,972件

※詳細なリリース履歴および修正内容は各リリースノートをご参照ください。すべてのリリースノートを参照するにはPHPセキュリティ延長保守サービスのサブスクリプションが必要です。

PHPプロジェクトへのフィードバックを開始

これまでの延長保守では、上流から修正を受け取る一方向の作業でした。ESIが見つけた問題のうち、現在PHPプロジェクトがサポートしている開発版PHP～PHP 8.2にも存在すると判断したものは25件あります。このうち23件は、本サービスで既に修正済みです。残る2件は、修正によって既存アプリケーションの動作が変わる可能性があるため、本サービスでは修正を行わず、上流に対して対応を提案します。

これらの問題については、PHPプロジェクトのセキュリティ報告手順に従い、順次報告と修正提案を行います。ESIは、長年にわたるPHP延長保守で培った知見を上流へ還元することで、最新のPHP利用者を含むPHPエコシステム全体の安全性向上に貢献してまいります。

ESI 代表取締役社長　大垣 靖男のコメント

「AIの普及で、脆弱性の発見と悪用はこれまでにない速さで進んでいます。保守終了版PHPを使い続けるお客様のシステムを守るには、PHPプロジェクトが公開した修正を移植するだけでは足りません。本サービスでは、AIを活用したソースコードの検証を取り入れ、保守終了版にだけ残る脆弱性まで踏み込んで修正する体制に移行しました。その過程で見つかった問題のうち、現在のPHPにも存在するものはPHPプロジェクトへ報告し、PHPを利用するすべての方の安全に貢献してまいります。」

PHPセキュリティ延長保守サービスについて

PHPセキュリティ延長保守サービスは、保守終了版PHPに対してセキュリティ修正を提供するサービスです。2008年の提供開始以来、多くの企業や組織において、システム改修やバージョンアップが難しい環境のセキュリティ維持を支援してきました。

PHPのバージョン番号や機能を変更することなく、セキュリティ修正のみを適用するため、既存アプリケーションへの影響を最小限に抑えながら、保守終了版のPHPを安全に継続利用できます。これにより、大規模な改修や移行に伴うコストやリスクを軽減しつつ、セキュリティ対策を継続することが可能です。

対象バージョン： PHP 5.3～8.1

対応OS　　　　： RHEL 6～10 および互換OS、Amazon Linux 1/2/2023

　　　　　　　　 (PHPのバージョンにより異なります)、Ubuntu、Debian、

　　　　　　　　 その他のLinux、BSD系OS

サービス紹介　： https://www.es-i.jp/services/php-security-patch-service

会社概要

エレクトロニック・サービス・イニシアチブ有限会社

所在地　： 岡山県総社市西坂台228

代表者　： 代表取締役社長　大垣 靖男

事業内容： オープンソース製品コンサルティング、

　　　　　 セキュリティ検査サービス、PHPセキュリティ延長保守サービス、

　　　　　 HeroDevs NESセキュリティ延長保守サービス

URL　　 ： https://www.es-i.jp/

＜参考資料＞

対応した主な脆弱性の種類

メモリ破壊(ヒープバッファオーバーフロー、解放後の使用、二重解放など)

画像処理機能における iptcembed() のヒープバッファオーバーフロー、GIF画像の読み込み(CVE-2026-9672)、SOAPのHTTP応答の整数オーバーフローによるバッファオーバーフロー(CVE-2025-14181)、PHP 5系の多数の整数オーバーフローなど。プロセスの異常終了や、任意のコードの実行につながるおそれがあります。

範囲外の読み出しと情報漏えい

不正な、または乗っ取られたデータベースサーバーの応答により、MySQLドライバー(mysqlnd)がヒープの内容を読み出す問題(CVE-2025-1218、CVE-2024-8929)、HTTPストリームラッパーの範囲外の読み出し(CVE-2026-93682)など。

通信の安全性

TLSのピア名の検証で、証明書の subjectAltName が一致しなくてもCNで照合してしまう問題(CVE-2026-91769)、リダイレクト先が別のサイトでも Authorization・Cookie ヘッダーを送ってしまう問題(CVE-2026-91766)、FastCGIの接続元の制限が IPv6 アドレスの一部しか比較しない問題(CVE-2026-91768)。

インジェクション

PostgreSQL拡張でのSQLインジェクション(CVE-2026-17543)、PDO::quote() が引用符で囲まない文字列を返す問題(CVE-2022-31631)、HTTPヘッダーの改行の解釈の不一致によるレスポンス分割・リクエスト分割、PHP-FPMのステータスページのクロスサイトスクリプティング、tar形式のアーカイブへのエントリの差し込み(CVE-2026-6103)。

サービス拒否

深く入れ子になったSOAPメッセージによるスタックオーバーフロー(CVE-2026-91765)、循環するシンボリックリンクを含むPharアーカイブ(CVE-2026-7260)など。

ESIが独自に発見し、現行のPHPにも存在する問題の詳細は、PHPプロジェクトへの報告と修正の公開の後に公表します。

品質と互換性への取り組み

ESIでは、セキュリティ修正の品質と互換性を確保するため、以下の取り組みを実施しています。

●1つの修正を1つのコミットとして管理し、原則として修正ごとにテストを追加して、対象のOSごとにCI(継続的インテグレーション)で検証しています。

●本サービスは、機能の追加・削除・変更を行いません。脆弱性の修正のために動作が変わる場合は、影響を評価したうえで、変更点をリリースノートに明記しています。

●2026年10月のリリースから、リリースごとにリリースID(例：esi-8.2.33.1)を付け、RPMのリリース番号、インストールされるファイル、PHPの実行ファイルから、どのリリースかを確認できるようにしました。PHPのバージョン番号は互換性のため変更していません。