The PHP Groupは2026年10月21日、PHPの深刻な脆弱性2件を修正したセキュリティリリースを公開した。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35の4つである。脆弱性はいずれも、認証なしでリモートからコードを実行される恐れがあるもので、同団体はすべてのPHP利用者に直ちに更新するよう強く呼びかけている。
公開に先立ち、IPA（情報処理推進機構）も同日に注意喚起を出した。リリースが日本時間21日23時に予定されていることを伝え、PHPを使うプログラムの棚卸しなど事前準備を求めている。IPAは掲載時点で悪用は確認していないとしたうえで、悪用される恐れがあるため予防的に発信したと説明している。
認証なしでコード実行を許す脆弱性2件
修正された脆弱性は、CVE-2026-109618とCVE-2026-109619の2件である。前者は、メモリ不足（OOM）の処理によってPHPの動作が中断されることに起因する。リクエストの内部データが一部しか初期化されていない状態で中断され、後片付けの処理がその不正なデータを有効なものとして扱ってしまう可能性がある。
後者は、リクエストに属する内部の状態が、裏付けとなるメモリの解放後も残ってしまう問題だ。同じワーカーが次に処理するリクエストで、通常の初期化が済む前にその古い状態が使われる恐れがある。The PHP Groupは、どちらもリモートコード実行につながり得る「critical（重大）」な脆弱性と位置付けている。
PHP-FPMやmod_phpなど、Webリクエストを処理する環境が対象
影響を受けるのは、Webリクエストを処理するすべてのPHP環境とされた。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが例示されている。
The PHP Groupは、最もリスクが高いのはmod_phpだとしている。mod_phpでは、認証のないリクエストによって、アプリケーションのコードが動く前に攻撃が成立することが実証されたという。アプリケーション側の作りに関係なく狙われ得る点に注意が必要だ。
IPAの注意喚起によると、CERT-EUはPHP 5以降が影響を受けるとしている。IPAはまた、サポートが終了した古いPHPを使い続けているWebサイトやWebサービスも見受けられると指摘した。攻撃者が極めて短時間で攻撃を実行する可能性もあるとして、パッチ公開後できるだけ早く適用するよう求めている。
8.1以前は公式の更新対象外、ディストリビューションには事前提供
更新先は、PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかである。ソースコードはPHPの公式ダウンロードページで提供され、Windows向けのソースとバイナリも同じページにある。LinuxディストリビューションとLTSベンダーには事前にパッチが渡されており、各ベンダーの更新パッケージを確認するよう案内している。
PHP 8.1以前は、PHPプロジェクトによる更新の対象外だ。一部のディストリビューションやLTSベンダーが修正を移植して提供しているため、ベンダーに問い合わせるか、サポート対象のバージョンへ移行するよう求めている。ただし今回は深刻度を踏まえ、PHP 7.4、8.0、8.1向けに最小限のソース修正も用意された。
有志が運営するリポジトリ「rpms.remirepo.net」を使っている場合は、当日中の更新がないという。The PHP Groupは、ディストリビューションのパッケージに切り替えるか、ソースからビルドするよう促している。
すぐに更新できない場合の緩和策
The PHP Groupは、すぐに更新できない場合の緩和策も示した。ただし、完全な対策は更新だけであり、緩和策は特定の攻撃経路を減らすにすぎないと明記している。設定を変えても安全になるわけではない点は押さえておきたい。
CVE-2026-109618については、memory_limitを-1に設定し、アプリケーション側で上書きできないようにする方法が挙げられた。post_max_sizeを小さくすることも推奨している。ファイルのアップロードが不要なら8M、必要なら32Mが目安だ。
CVE-2026-109619については、session.upload_progress.enabledを0にし、すべてのワーカーを再起動する方法が示された。PHP 8.5では、fatal_error_backtracesを0にする設定も挙げている。いずれも確認済みの攻撃経路を防ぐもので、ほかの変種までは防げないとしている。
企業への示唆
まず確認したいのは、自社のWebサイトや業務システムのどこでPHPが動いているかである。PHPのバージョンと、mod_phpやPHP-FPMといった動作形態をあわせて把握しておくと、優先順位を付けやすい。外部に公開しているサーバーや、8.1以前の古いバージョンが残るサーバーは、真っ先に対応を検討すべきだろう。
IPAは、PHPがソフトウェア製品やネットワーク機器の内部で使われている場合もあると注意を促している。自社で把握できない製品は、マニュアルや開発元のセキュリティ情報を確認したい。制作会社やホスティング事業者に運用を任せているサイトでは、更新の予定と完了時期を先方に確かめておくとよい。
ITトレンドでセキュリティ診断サービスについてチェック！[【ランキング】セキュリティ診断サービスおすすめ22選を比較！料金相場や選び方も解説]
PHP製CMSの脆弱性ニュースはこちらもチェック！[WordPress 7.1.2公開、認証不要で悪用される恐れのある深刻な脆弱性を修正——直前の7.1.1でも11件の修正]
まとめ
The PHP Groupは、認証なしでリモートコード実行を許す恐れのある脆弱性2件を修正し、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。Webリクエストを処理するPHP環境が広く対象で、特にmod_phpのリスクが高いとされている。
緩和策は示されているものの、完全な対策は更新だけである。PHPを使うシステムを洗い出し、修正版やベンダーの更新パッケージを速やかに適用したい。
