PHP、10月21日14時UTCに緊急更新 漏えい受け前倒し
PHPセキュリティチームはCVSS 9.2の2件の脆弱性に対し、10月21日14時UTCに更新を公開すると発表した。当初予定より前倒しとなる。
PHPの開発チームは、2件の脆弱性を修正するセキュリティ更新を10月21日14時UTC（日本時間同日23時）に公開すると発表した。PHPセキュリティチームはANNOUNCEメーリングリストで、更新が公開され次第できるだけ早く適用するよう管理者に呼びかけた。BleepingComputerが報じた。
2件の脆弱性はいずれもPHPセキュリティチームによりCVSS v4.0で9.2と評価されている。PHP側は影響を受けるバージョンや修正を含むリリースについては明らかにしていない。更新公開時に技術的な詳細、影響範囲、修正版をまとめて公表するとしている。
PHPセキュリティチームは、詳細が公開された場合や実際に悪用された痕跡が確認された場合には、予定より早く更新を公開する権利を留保していると述べた。
漏えいを受けて前倒し
セキュリティ研究企業watchTowrはBleepingComputerに対し、この2件がCVE-2026-109618とCVE-2026-109619として追跡されており、PHPのバージョン5、6、7、8に影響するとみられると説明した。watchTowrの最高経営責任者（CEO）Benjamin Harris氏によると、リモートコード実行につながるこの2件の情報が直前になって漏えいし、当初は木曜午前11時（米東部時間）に公開される予定だったという。watchTowrはCVE-2026-109618について再現に成功したと考えているが、修正版が公開されるまで技術情報は公表しないとしている。また、実際の悪用は確認していないとした。
watchTowrはXへの投稿で、PHPの未公開ゼロデイ脆弱性に関する情報が漏えいしたと伝えた。Hacker Newsではユーザーのpetecooperによる投稿が、2件が10月22日に公開されCVSSスコアは10.0になると主張していたが、この投稿はすでに削除されている。
よくある質問
PHPのセキュリティ更新はいつ公開されますか？
PHPセキュリティチームは10月21日14時UTCに公開すると発表しています。詳細が公開された場合などは前倒しされる可能性があります。
どのPHPバージョンが影響を受けますか？
PHP側は明らかにしていません。watchTowrはバージョン5、6、7、8が影響を受けるとみられると述べています。
脆弱性の深刻度は？
PHPセキュリティチームは2件ともCVSS v4.0で9.2と評価しています。