「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを

「PHP」のセキュリティアドバイザリ

　スクリプト言語「PHP」の開発チームは10月21日（協定世界時）、「PHP」のセキュリティアップデートを実施した。以下のバージョンが利用可能で、すべての利用者にただちにアップデートするよう強く呼びかけられている。

• v8.5.12
• v8.4.27
• v8.3.36
• v8.2.35

　今回のアップデートでは、予告通り、認証なしでリモートからコードを実行（RCE）されるおそれのある2件の脆弱性が対処されている。深刻度はいずれも4段階中最高の「Critical」、「CVSS 4.0」の基本値は「9.2」。

• CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：メモリ不足（OOM）の処理によって、内部のリクエストデータが一部しか初期化されていない状態で処理が中断されることがある。その後のリクエストの後始末で、不正なデータが正しいものとして扱われてしまう
• CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：リクエストが所有する内部状態が、その裏付けとなるメモリが解放された後も残ってしまう。同じワーカーが後で処理するリクエストが、通常の初期化でリセットされる前にこの古い状態を使ってしまうおそれがある

　影響を受けるのは、Webリクエストを処理するすべての「PHP」環境。「PHP-FPM」、「Apache」の「mod_php」、「php-cgi」、「FrankenPHP」、「LiteSpeed」などの構成が挙げられている。

　とくに危険性が高いのは「mod_php」で、認証されていないリクエストによって、アプリケーションのコードが実行されるよりも前に攻撃を引き起こせることが実証されているという。Linuxディストリビューションや長期サポート（LTS）を提供するベンダーにはパッチが事前に提供されているので、それぞれの更新パッケージを確認したい。

　なお、サポート終了で本来はアップデートの対象外である「PHP 7.4」「PHP 8.0」「PHP 8.1」に関しても、事態の深刻さに鑑み、最小限のソースコードバックポートが用意されている。

　また、すぐにアップデートできない場合は、以下の緩和策が利用可能。

• CVE-2026-109618：「memory_limit=-1」をアプリケーションから上書きできない方法で設定する。「post_max_size」を小さく抑える（ファイルアップロードが不要なら「8M」、必要なら「32M」）。Webサーバーやプロキシーの段階でリクエストのサイズや入力フィールド数などを制限する
• CVE-2026-109619：「session.upload_progress.enabled=0」を設定し、すべてのワーカーを再起動する（「ini_set()」や「PHP-FPM」の「.user.ini」では不十分）。v8.5では「fatal_error_backtraces=0」も設定する

　ただし、これらは特定の攻撃経路への露出を減らすにすぎず、環境を安全にするものではない。完全な解決策はアップデートのみだ。

　「PHP」は、Webアプリケーションの開発に広く使われているオープンソースのスクリプト言語。ソースコードは「php.net」のダウンロードページから、Windows向けのバイナリは「windows.php.net」から入手可能。