PHP 8.2.35リリース、RCE脆弱性2件を修正
原題: PHP 8.2.35
なぜ重要か
認証不要のRCEはサーバー完全掌握につながる最高レベルの脅威であり、広く使われるPHPの即時対応は運用チーム全体に関わる。
PHP開発チームは2025年10月21日、PHP 8.2.35をリリースした。CVE-2026-109618およびCVE-2026-109619の2件の重大な脆弱性を修正したセキュリティリリースで、いずれも認証不要のリモートコード実行（RCE）を可能にする欠陥。開発チームは完全な回避策は存在しないとして、PHP 8.2系ユーザー全員に即時アップデートを強く推奨している。
PHP開発チームは、PHP 8.2.35を2025年10月21日付で即時提供開始した。今回のリリースはセキュリティ修正専用で、通常の機能追加や改善は含まれない。
修正された脆弱性はCVE-2026-109618とCVE-2026-109619の2件。どちらも「critical」と分類されており、攻撃者が認証なしでリモートから任意のコードを実行できる可能性がある。開発チームは「完全な緩和策は存在しない。アップデートが唯一の安全な選択肢だ」と明言しており、設定変更やWAFなどによる部分的な対処で済ませることは推奨されていない。
ソースコードおよびWindowsバイナリはPHPの公式ダウンロードページから入手可能。変更点の詳細はChangeLogに記録されている。
なお、PHP 8.2系は2026年12月31日にサポート終了（End of Life）を迎える。それ以降はセキュリティ修正も提供されなくなるため、開発チームはサポート継続中のバージョンへの移行計画を今から立てるよう促している。リリース担当はadoyで、コミットにはSergey Panteleevの署名が付いている（GPGキーは期限切れだが検証済み）。