【重要】CS^2をご利用のお客様へ PHPのアップロード進捗管理機能に関するセキュリティ設定の見直しについて
2026年10月25日
このたび、PHP Foundationより、PHPのアップロード進捗管理機能に関するセキュリティ上の注意喚起が公開されました。
これを受け、株式会社中部システムでは、IBM i向けPHP環境「CS^2」をご利用のお客様に対し、セキュリティリスクを低減する観点から、当該機能を使用していない場合は無効化することを推奨いたします。
今回のご案内は、先般お知らせしたPHPの重大な脆弱性「PHP2Shell」に関連するものであり、セキュリティパッチの適用状況や適用予定の有無にかかわらず、ご確認いただきたい内容です。
1. 対象となるPHPの設定
PHPには、ファイルアップロード中の進捗状況をセッション情報に記録する機能があり、標準では有効となっています。
対象となる設定は、php.iniの以下の項目です。
現在の標準設定：
session.upload_progress.enabled = On
推奨設定（当該機能を使用していない場合）：
session.upload_progress.enabled = Off
本設定を無効化しても、通常のファイルアップロード処理には影響しません。
ただし、アップロード中の進捗状況を表示する機能などを使用している場合は、動作に影響が生じる可能性があります。
2. 機能の使用有無について
今回の対象となる機能は、ファイルアップロード中の進捗状況をPHPのセッション情報から取得し、画面上に表示する場合などに使用されます。
例えば、アプリケーション内で以下のような処理を行っている場合が該当します。
-
PHP_SESSION_UPLOAD_PROGRESSという名前のフォーム項目を使用している。 -
session.upload_progress.nameやsession.upload_progress.prefixの設定値を参照している。 -
＄＿ＳＥＳＳＩＯＮからupload_progress_で始まるキーを参照し、アップロード進捗情報を取得している。
一方、一般的な ｍｏｖｅ＿ｕｐｌｏａｄｅｄ＿ｆｉｌｅ（） や $_FILES を使用したファイルアップロード処理は、本設定を無効化しても通常どおり利用できます。
※ 本記事に記載しているPHPの変数名および関数名の一部は、Webサイトのセキュリティ対策上の理由により、全角文字で表記しています。実際のPHPプログラムで使用する際は、半角文字に読み替えてください
なお、上記は代表的な例であり、アプリケーションの実装方法によって異なる場合があります。
3. CS^2をご利用のお客様へのお願い
今回の設定変更は、PHPのセキュリティリスクを低減するための予防的な対策です。
株式会社中部システムでは、当該機能を使用していない場合、設定を無効化することが望ましいと考えております。
ただし、お客様が独自に開発・運用されているアプリケーションについて、当該機能の使用有無を当社ですべて把握することはできません。
そのため、お客様ご自身でアプリケーションへの影響をご確認いただき、無効化の可否をご判断くださいますようお願いいたします。
4. 設定変更への対応について
現在ご案内しておりますPHPセキュリティパッチの適用をお申し込みいただいているお客様につきましては、ご希望に応じて、パッチ適用作業に併せて本設定の変更を実施いたします。
また、セキュリティパッチの適用をまだご依頼いただいていないお客様につきましても、推奨設定をご検討頂きますようお願い致します。
IBM iは企業の基幹業務を支える重要なシステムであることから、設定変更に際しては、お客様の利用環境や業務への影響を確認し、適用時期や作業方法をご相談のうえ、個別に対応いたします。
なお、本設定の変更はセキュリティリスクを低減するための措置であり、PHP2Shellに関するセキュリティ修正パッチの適用に代わるものではありません。
5. 関連情報
株式会社中部システムでは、今後も米国Seiden Groupと連携し、CS^2をご利用のお客様が安心してIBM i上のPHP環境を運用できるよう、セキュリティ対策に関する情報提供に努めてまいります。
株式会社中部システム