PHPのセキュリティチームは、2件の重大な脆弱性に対処する緊急セキュリティアップデートを明日公開するとして、管理者に準備を呼びかけています。脆弱性に関する情報が、予定されていた公開日より前に漏えいしたと報じられています。
PHPは、コンテンツ管理システム（CMS）やEコマースプラットフォーム、独自開発のWebサービスなど、数多くのWebサイトやWebアプリケーションを支えています。
PHP開発チームは火曜日に公開したアドバイザリで、10月21日（水）14:00 UTC（米国東部時間午前10時）にセキュリティアップデートを公開すると発表しました。対象は2件の脆弱性で、いずれもCVSS v4.0で9.2と評価されています。
PHPのセキュリティチームはANNOUNCEメーリングリストにも通知を送り、アップデートが公開され次第、速やかに適用できるよう準備することを管理者に促しました。
PHPセキュリティチームは、「いずれかの脆弱性の詳細が公になった場合、または実際に悪用された形跡が確認された場合は、予定より早くリリースする権利を留保します」と警告しています。
開発チームは、影響を受けるPHPのバージョン、悪用方法、修正が含まれるリリースなど、脆弱性の技術的な詳細を一切明らかにしていません。
一方、セキュリティ企業watchTowrの研究者はBleepingComputerに対し、CVE-2026-109618とCVE-2026-109619として追跡されているこれらの脆弱性は、リモートコード実行（RCE）の欠陥であり、PHP 5、6、7、8に影響するとみられると語りました。
watchTowrのCEOであるBenjamin Harris氏は、BleepingComputerに次のように述べています。「1時間ほど前、PHPの2件のリモートコード実行の脆弱性が漏えいしました。これらは事前にエンバーゴ（公開禁止措置）が設定されており、木曜日の午前11時（米国東部時間）に公開される予定でした」
「機密性の高い情報であるため、現時点で技術的な情報をお伝えすることはできません。ただ、これらの脆弱性が実在することは確認しています。どちらもCVSS 10で、PHP 5、6、7、8に影響するとみられます」
watchTowrはまた、CVE-2026-109618の再現にはすでに成功したとみているものの、セキュリティパッチが公開されるまで技術情報は公表しないとしています。
研究者らは、情報が予定より早く漏えいしたとされるものの、これらの脆弱性が実際に悪用されている形跡は確認していないと説明しています。
watchTowrはXへの投稿で、当初予定されていた公開日より前に脆弱性の情報が漏えいしたと警告しました。
研究者らは「私たちは皆、木曜日の午前11時（米国東部時間）まで待つことになっていました。エンバーゴ中のPHPのゼロデイRCE脆弱性に関する情報が漏えいしています。これらが実在することは確認できます」と述べています。
この警告は、Y CombinatorのHacker NewsフォーラムにあったPHPの投稿が削除された後に出されました。この投稿では「petecooper」というユーザーが、PHPの重大なリモートコード実行の脆弱性2件が10月22日に公開されると主張していました。
BleepingComputerが確認した投稿は、両脆弱性のCVSSスコアが10.0で、PHP 5までさかのぼるバージョンに影響すると主張していました。
投稿はさらに、脆弱性をCVE-2026-109618とCVE-2026-109619と特定しており、これは後にwatchTowrが共有した識別子と一致します。
ただし、watchTowrの説明やHacker Newsの投稿の内容は、PHPの公式発表とは異なります。両者は脆弱性をCVSS 10.0としていますが、PHPのセキュリティチームはそれぞれにCVSS v4.0スコア9.2を付けています。
また、watchTowrは当初の公開予定を木曜日としていますが、PHPは明日の午前にセキュリティリリースを行うと正式に予定しています。
PHPセキュリティチームは、セキュリティアップデートの公開と同時に、技術的な詳細、影響を受けるバージョン、修正版リリースをすべて公表するとしています。
