本日早くに、PHPプロジェクトはPHP 8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。これらのリリースは、適切な条件下で認証のない攻撃者がPHPを実行しているサーバー上でコードを実行できる2つの重大な脆弱性を修正します。PHPを利用しているすべての人は直ちに更新することが強く推奨されます。php.netの公式発表には、技術的な詳細と更新手順が記載されています。
1つ目の欠陥であるCVE-2026-109618は、メモリ不足（OOM）の状況に関係します。リクエストがまさに不適切なタイミングでPHPのmemory_limitに達すると、PHPは部分的にしか初期化されていない内部データを残すことがあり、それが後に有効なものとして扱われてメモリが破損します。mod_phpを使ったApacheでは、アプリケーションコードが実行される前に、認証のないリクエストがこれを引き起こすことができ、デフォルト設定で完全なリモートコード実行が実証されました。2つ目のCVE-2026-109619は古い状態の問題です。致命的なエラーにより、内部状態が前のリクエストのメモリを指したままになり、解放後使用（use-after-free）が可能になります。これは実際のアプリケーションに対して実証されました。
どちらの問題も、ほぼすべてのリクエストが通るPHPの中核領域、すなわちメモリ管理とエラー処理に存在します。この中心的な役割があったため深刻である一方、互換性を損なったり、性能を低下させたり、大規模なサードパーティ拡張エコシステムに変更を強いたりせずに修正することは困難でした。
OOMの問題は、PHP Foundationが資金を提供し、Quarkslabが実施した2024年の外部セキュリティ監査で初めて発見されました。セキュリティチームが、それぞれにトレードオフを伴う複数の競合するアプローチを検討したため、修正は数か月間停滞しました。チームはこの遅延を構造的な失敗であったと認め、多数決を含む意思決定プロセスを変更しています。2026年5月には、PHP Foundationがトリアージ、調整、強化を支援するためのEcosystem Security Teamも設立しました。
出典: Hacker News · 要約：HeadlinesBriefing