PHP、認証不要でコード実行される脆弱性2件を修正　8.5.12など4系統の更新版を公開

　PHPプロジェクトは10月21日、認証なしでリモートからコードを実行される（RCE）おそれがある重大な脆弱性2件を修正した、セキュリティリリースを公開した。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。深刻度を示す共通脆弱性評価システム（CVSS）v4.0のスコアは、2件とも9.2という。

　脆弱性は「CVE-2026-109618」と「CVE-2026-109619」。前者は、メモリ不足（OOM）の処理でPHPが中断された際、リクエスト用の内部データが一部しか初期化されておらず、後始末で不正なデータが正しいものとして扱われる問題だ。後者は、リクエストが持つ内部状態が、裏付けのメモリを解放した後も残り、同じワーカーが処理する後続のリクエストで使われてしまう問題という。

　影響を受けるのは、Webリクエストを処理するすべてのPHP環境。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedを含む。リスクが特に高いのはmod_phpで、認証なしのリクエストだけで、アプリケーションのコードが動く前に攻撃が成立する実証コードがあるとしている。

　修正版は4系統。PHP 8.2は2026年12月31日にサポートが終了する予定で、告知は対応バージョンへの移行計画を立てるよう求めている。

　PHP 8.1以前は、プロジェクトとしての更新の対象外。ただし7.4、8.0、8.1には最小限のバックポートが用意され、ディストリビューションやLTSベンダーが独自に修正を出している場合もある。Linuxディストリビューションなどには事前にパッチが渡されており、各ベンダーの更新パッケージを確認するよう促している。

　有志が保守するパッケージ配布サイト（rpms.remirepo.net）は、21日時点で更新がない。プロジェクトは、ディストリビューションが提供するパッケージか、ソースからのビルドへの切り替えを勧めている。

　事前予告では、詳細が公開された場合や悪用が確認された場合は、公開を前倒しする権利を留保するとしていた。プロジェクトは、更新が唯一の完全な対策と位置づけたうえで、すぐに更新できない場合の緩和策も示している。