PHP、2件のRCE脆弱性を修正するセキュリティ更新をリリース
原題: Today's PHP security release, and how we're strengthening security
なぜ重要か
PHPは世界中のウェブサーバーで広く稼働しており、デフォルト設定でRCEが可能な脆弱性は影響範囲が极めて広く、即時対応が不可欠。
PHP Foundationは2026年10月21日、PHP 8.5.12・8.4.27・8.3.36・8.2.35をリリースした。今回の更新では、認証なしでサーバー上のコード実行を可能にする深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正。両脆弱性はメモリ管理とエラーハンドリングという、ほぼすべてのリクエストが通過するコア部分に存在していた。
PHP Foundationは、本日リリースした複数バージョンのPHPで2件の重大なリモートコード実行（RCE）脆弱性を修正したと発表した。
1件目のCVE-2026-109618は「OOMによるメモリ破壊」に関するもの。リクエストがPHPの`memory_limit`に達した瞬間のタイミングによっては、初期化途中の内部データが残留し、後続処理で無効なメモリが参照される。Apache上の`mod_php`環境ではデフォルト設定のままでも未認証のリクエストによりRCEが実証されており、PHP-FPMでもアプリケーションレベルの経路でRCEが確認された。
2件目のCVE-2026-109619は「古い状態による解放済みメモリの参照（use-after-free）」の問題。致命的エラーの発生タイミングによっては、同一ワーカーが次のリクエストで前のリクエストに属していたメモリを参照する。報告者はApache＋`mod_php`の実環境アプリケーションでRCEを実証済みだ。
CVE-2026-109618の最初の兆候は2024年に遡る。Sovereign Tech Agencyの資金援助でPHP Foundationが手配し、Quarkslab社が実施した外部セキュリティ監査の際、別の問題を修正中にPHPコア開発者がOOM問題の端緒を発見した。当時は理論上の悪用経路は想定されたものの、具体的なRCEの手法は見つからず、他の問題が優先された。
その後、PHPセキュリティチームは修正案を複数検討したが、下位互換性の破壊、新たなDoS攻撃の誘発、大量のサードパーティ拡張機能への変更要求など、いずれの案もトレードオフを抱えていた。コンセンサス重視の意思決定プロセスと、深い知識を持つコア開発者の人手不足が重なり、修正作業は何ヶ月にもわたって停滞と再開を繰り返した。PHP Foundation自身も「この遅延はセキュリティチームの意思決定プロセスとリソース不足が招いた構造的な失敗だった」と認めている。セキュリティチームはプロセスの見直しをすでに開始しているという。