PHPのメンテナーは、2件の重大な脆弱性を修正したと発表しました。
PHP 8.5.12、8.4.27、8.3.36、8.2.35では、認証なしでリモートコード実行（RCE）が可能になりかねない2件の重大な脆弱性を修正しています。すべてのPHPユーザーに、直ちにアップデートすることを強く推奨します。
影響を受けるのは、Webリクエストを処理するすべてのPHP環境です。PHP-FPM、mod_php構成のApache、php-cgi、FrankenPHP、LiteSpeedも含まれます。なかでもmod_phpのリスクが最も高いと考えています。mod_phpでは、認証なしのリクエストだけで、アプリケーションコードが実行される前に攻撃を成立させるエクスプロイトが実証されています。
脆弱性は次のとおりです。
- OOM（メモリ不足）による破損を悪用したRCE、CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：メモリ不足の処理により、内部のリクエストデータが一部しか初期化されていない状態でPHPが中断されることがあります。その後のリクエスト終了処理が、この不正なデータを正常なものとして扱う場合があります。
- 古いグローバル状態を悪用したRCE、CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：リクエストが保持する内部状態が、裏付けとなるメモリの解放後も残ることがあります。同じワーカーが後続のリクエストを処理する際、通常の初期化でリセットされる前に、この古い状態を使用してしまう可能性があります。
セキュリティを取り戻す方法は、PHPのアップデートだけです。今すぐ実施してください。
詳しくはこちらのニュースをご覧ください。
本記事は schneier.com の記事を翻訳・要約したものです。
