PHP、認証不要のコード実行につながる重大な脆弱性2件を修正

PHP開発チームは2026年10月21日、重大な脆弱性2件を修正した8.5.12、8.4.27、8.3.36、8.2.35を公開しました。前日の予告で未公表だった原因と修正版が明らかになりました。Webリクエストを処理するPHP環境が対象で、認証なしでサーバー上のコードを実行されるおそれがあります。

CVE-2026-109618は、メモリ不足で処理が中断した際、初期化途中の内部データを終了処理が扱ってしまう問題です。Apacheのmod_phpでは、アプリのコードが動く前に攻撃が成立することを実証しています。一方、この脆弱性についてPHP-FPMで完全な攻撃は実証されていないと区別しています。

CVE-2026-109619は、解放したメモリへの参照が処理プロセスに残り、同じプロセスが次のリクエストで参照する問題です。こちらはアプリの処理条件に依存するPHP-FPMの経路も検証されています。攻撃の実証は、実際の被害が発生したという報告とは別です。

開発チームは直ちに更新するよう求めています。設定変更による暫定策は一部の経路を制限するだけで、完全な対策ではありません。OS配布元のパッケージを使う場合は修正の提供状況を確認し、サポート終了版は配布元の修正か対応中の系列への移行が必要です。