PHP開発チームは2026年10月21日、認証なしで外部からコードを実行されるおそれがある2件の脆弱性を修正しました。対象はCVE-2026-109618とCVE-2026-109619で、PHP側の評価はいずれもCVSS v4.0で9.2です。公式告知は、Webリクエストを処理するPHP環境に速やかな更新を求めています。
セキュリティ企業watchTowrは、自社のハニーポット網で10月21日時点で実環境での悪用を観測したと報告しています。
Webリクエストを処理するPHP環境が対象
影響するのはPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを受けるPHP環境です。WordPressや各種フレームワークを動かすPHP本体の問題です。
PHP開発チームは、特にmod_phpのリスクが高いと説明しています。mod_phpでは、アプリケーションのコードが動く前に、未認証のリクエストから悪用できることが実証されています。PHP-FPMでも、CVE-2026-109619はアプリケーション側の条件がそろうと未認証のコード実行が検証されています。実行権限はいずれもWebワーカーのアカウントです。FrankenPHPも、アプリケーションに依存しない攻撃を受ける可能性が高いとされています。
修正版は8.2〜8.5の各系列で公開
| PHP系列 | 今回の修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
サーバーを自社管理している場合は、利用系列の修正版へ更新します。PHP開発チームによると、LinuxディストリビューションやLTSベンダーには事前にパッチが共有されています。OS側のパッケージで更新する場合は、ベンダーの告知で今回のCVEへの対応を確認してください。PHP開発チームは、Remiリポジトリ(rpms.remirepo.net)では告知当日に更新が出ないとして、ディストリビューションのパッケージへの切り替えか、ソースからのビルドを案内しています。
レンタルサーバーや管理サービスの利用者は、提供元の告知で対象環境と適用状況を確認します。WordPress本体やプラグインの更新に加え、サーバー側のPHPが修正済みかを確かめる必要があります。
更新をすぐに行えない環境向けに、PHP開発チームは2件それぞれの設定変更や全ワーカーの再起動を案内しています。セッション関連の回避策はini_set()やFPMの.user.iniではなく、リクエスト処理前に適用されるサーバー設定で行います。回避策は個別の攻撃経路に限られるため、公式告知で両方の手順を確認し、修正を含むPHPへの更新を進めてください。
古いPHPを使っている場合
PHP 8.1以前は、PHPプロジェクトの通常の更新対象を外れています。今回は7.4・8.0・8.1向けにも最小限のソースパッチが用意されましたが、継続サポートが再開されたわけではありません。利用ベンダーの修正提供を確認するか、サポート中の系列へ移行してください。
PHP 8.2も2026年12月31日にセキュリティサポートが終了します。今回の修正適用と併せて、移行先の検討が必要です。
コメント