2026/10/22 07:06
PHPの重大脆弱性2件、修正版を公開 OpenAIも発見に関与
PHPの開発チームは10月21日、未認証の遠隔コード実行につながる重大な脆弱性２件を修正したと発表しました。PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。WebサイトでPHPを使う運営者には、利用中の系列に合った更新が必要です。
Webリクエストを処理するPHPが対象
公式勧告は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを受けるPHP環境を対象に挙げています。特にmod_phpでは、アプリケーションの処理に入る前の未認証リクエストで攻撃を起こせる実証があると説明しています。
２件はCVE-2026-109618とCVE-2026-109619です。前者はメモリ不足時の内部データの扱い、後者は前のリクエストから残る内部状態に関係します。PHPチームは完全な緩和策はなく、更新が唯一の確実な対処だとしています。
配布元の修正を確認し、古い系列は移行を
Linuxディストリビューションや長期サポート提供元には事前に修正が渡されており、バージョン番号が公式配布版と異なる更新パッケージもあり得ます。自分のPHPの配布元が提供する修正を確認してください。PHP 8.1以前はPHP本体からの通常の更新対象外です。
OpenAIは、同社の研究者がGPT-5.6 Solを使って重大な欠陥の一つを見つけ、Wizも両方の欠陥を独立に発見したと説明しています。修正と公開を主導したのはPHPの保守チームです。AIによる発見事例であると同時に、運営者が今すぐ更新状況を確かめるべきセキュリティ告知です。
利用中のPHPの版と配布元を確認し、修正版または配布元の対応済みパッケージへ更新してください。暫定設定だけで安全になったとは判断できません。