PHPに深刻な脆弱性、修正版8.2.35など公開

PHP開発チームは2026年10月21日、リモートコード実行につながる2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619（PHP2Shell）を修正するセキュリティアップデートを公開し、直ちに適用するよう呼びかけた。dailysecu.comが伝えた。

両脆弱性のCVSS 4.0深刻度スコアは9.2。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12。CVE-2026-109618は、リクエスト終了時のメモリ不足エラー処理中に発生し、リモートコード実行に至る可能性がある。PHPチームは標準的なmod_php構成で、Webアプリケーションのコードが実行される前にHTTPリクエスト経由の未認証コード実行を確認した。

CVE-2026-109619は、リクエスト用メモリの解放後に内部状態が残り、ワーカープロセスが後続のリクエスト処理時にそれを参照してしまう問題。影響を受ける環境にはPHP-FPM、Apache mod_php、PHP-CGI、FrankenPHP、LiteSpeedが挙げられ、中でもmod_phpが最もリスクが高いとされる。

適用確認では注意が必要だ。php -vの実行だけでは不十分で、Webサービスが別のPHP-FPMやApacheモジュールのバージョンを使用している場合がある。Ubuntu 24.04 LTSでは修正パッケージが8.3.6-0ubuntu0.24.04.13として提供されている。

回避策は限定的だ。session.upload_progress.enabled=0の設定は一部の攻撃経路をふさぐが、すべての亜種には対応しない。PHP 8.5のfatal_error_backtraces=0も限定的な緩和策にとどまる。