[ダイアリーポイント=オム・ジュヨン記者] PHPで、認証されていない攻撃者が遠隔でコードを実行できる致命的な脆弱性2件が確認され、セキュリティ更新が公開された。PHP開発チームは、Webリクエストを処理するすべてのPHP環境に対し、即時の更新を推奨している。
PHP開発チームは21日、セキュリティ勧告を通じてCVE-2026-109618とCVE-2026-109619を修正したバージョンとして、PHP 8.5.12、8.4.27、8.3.36、8.2.35を提示した。両脆弱性はいずれもCVSS 4.0基準で9.2点と評価され、認証手続きなしに遠隔コード実行につながる可能性がある。
1つ目の脆弱性は、メモリ不足の状況を処理する過程で、初期化が完了していない内部リクエストデータが誤って処理される可能性がある問題だ。2つ目は、リクエストに属する内部状態がメモリ解放後も残り、次のリクエストで使用される可能性がある問題として説明された。
影響を受ける可能性がある環境は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境全般だ。PHP開発チームは特にmod_php環境において、アプリケーションコードが実行される前に、認証されていないリクエストによって攻撃が引き起こされる可能性があり、リスクが高いとしている。
運用者は使用中のPHP系列に合わせて、該当する修正版以降へ更新する必要がある。Linuxディストリビューションや長期サポートOSベンダーのパッケージを利用している場合は、各ベンダーが提供するセキュリティパッチの適用状況も確認すべきだ。
PHP 8.1以下のバージョンは、PHPプロジェクトからのサポートが終了している。一部のディストリビューションや長期サポートベンダーが独自に修正を提供する場合もあるが、PHP開発チームはベンダーに確認するか、サポートされているバージョンへのアップグレードを案内している。PHP 8.2は2026年12月31日にセキュリティサポートが終了する予定だ。
即時に更新できない場合のための設定調整策も一部公開されているが、PHP開発チームはこれを完全な解決策とはみなしていない。セキュリティ勧告の核心的な対応は修正版への更新であり、更新前の暫定措置は特定の攻撃経路への露出を減らすだけで、環境を安全にするものではない。