PHP に重大なRCE脆弱性、即時更新を
原題: Security advisory: Critical remote code execution vulnerabilities, update now
なぜ重要か
Webインフラの大半を支えるPHPに認証不要のRCE脆弱性が発覚した事実は、ホスティング事業者やSaaS企業にとって即座の対応を迫る最重要事項だ。
2026年10月21日、PHP開発チームはリモートコード実行（RCE）を可能にする重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を公表した。PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeedを含む全PHPインストール環境が対象。修正済みバージョンはPHP 8.5.12、8.4.27、8.3.36、8.2.35で、即時アップデートが強く推奨されている。
PHP開発チームは2026年10月21日付のセキュリティアドバイザリで、認証不要のリモートコード実行を許す脆弱性2件を修正したと発表した。
1件目のCVE-2026-109618（GHSA-w8hw-w9fx-j79w）は「OOMコラプション経由のRCE」と呼ばれる。メモリ不足（OOM）処理がリクエストデータの初期化途中にPHPを中断させ、リクエストのクリーンアップ処理が未完のデータを正常データとして扱うことで攻撃が成立する。
2件目のCVE-2026-109619（GHSA-6wmf-4rv5-p3rp）は「ステールなグローバル状態経由のRCE」。リクエストが保持する内部状態が、バッキングメモリの解放後も残存し、同一ワーカーが次のリクエストを処理する際に通常の初期化前にその古い状態を参照してしまう。
PHP開発チームは特にmod_phpでのリスクが最も高いと評価しており、「認証不要のリクエストがアプリケーションコード実行前に攻撃をトリガーできる」実証済みのエクスプロイトが存在すると明示した。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedを利用するすべての環境が影響を受ける。
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。LinuxディストリビューションおよびLTSベンダーにはパッチが事前提供済みのため、各ベンダーのパッケージ更新を確認するよう促している。PHP 8.1以前はPHPプロジェクトからの公式更新対象外だが、深刻度を考慮しPHP 7.4、8.0、8.1向けの最小限のソースバックポートが提供されている。
なお、ボランティアが管理するrpms.remirepo.netは今回の更新に即日対応できないとして、ディストリビューションパッケージへの移行またはソースビルドへの切り替えが強く求められている。