---
source_url: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
source_title: "Today's PHP Security Release, and How We're Strengthening PHP Security"
hero_image: https://thephp.foundation/assets/share/2026-10-21-todays-php-security-release-and-how-were-strengthening-php-security.png
tags: php,security,vulnerabilities,open-source,funding
generated_at: 2026-10-21T20:01:02.582Z
model: claude-haiku-5-5
---
# PHPの本日のセキュリティリリースと、PHPセキュリティ体制の強化について

PHPプロジェクトは2026年10月21日、2件の重大な脆弱性を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。両脆弱性は条件次第で、認証されていない攻撃者がPHPを動かすサーバー上でコードを実行することを可能にするとされる。

PHP Foundationのブログ記事によると、今回のリリースは2件のRCE脆弱性への対応である。記事では、脆弱性の発見と修正の経緯、CVE IDの事前流出、リリースの前倒し、PHPのセキュリティ体制と資金支援についても説明されている。

## 脆弱性の概要

修正された脆弱性は、CVE-2026-109618とCVE-2026-109619の2件である。両者の概要は次のとおりである。

| CVE | GHSA | 種類 | 概要 |
|---|---|---|---|
| CVE-2026-109618 | GHSA-w8hw-w9fx-j79w | OOM corruption RCE | memory_limitに不適切なタイミングで到達すると、部分的に初期化された内部データが有効なものとして扱われる |
| CVE-2026-109619 | GHSA-6wmf-4rv5-p3rp | stale state RCE | 致命的エラーにより、内部状態が前のリクエストのメモリを指したままになる |

OOM脆弱性については、デフォルト設定のApache（mod_php）で完全なリモートコード実行が実証された。PHP-FPMでも、アプリケーションレベルのコードパスを通じてRCEが確認された。

stale state脆弱性では、use-after-freeとワーカーのクラッシュが確認された。報告者は、Apache（mod_php）上の実際のアプリケーションに対するRCEを実証した。

## OOM問題の発見と修正の遅れ

PHPは2024年、数年ぶりとなる初の外部セキュリティ監査を受けた。この監査はPHP Foundationが資金を提供し、Sovereign Tech Agencyを通じて支援され、OSTIFが組織し、Quarkslabが実施した。

PHP Foundationと契約しているPHPコア開発者が、Quarkslabが報告した問題の一つを修正している最中に、OOM問題の最初の兆候を見つけた。2024年には潜在的なエクスプロイトが理論上想定されていたとされるが、具体的な攻撃経路は見つからなかったとされる。PHPセキュリティチームによる修正は、数か月にわたって停滞と再開を繰り返した。

2026年7月30日、CalifはPatch the Planetプログラムの一環としてPHPの監査を開始した。8月11日には、CalifのRyan A氏がOOM問題と同じ根本原因による無条件のリモートコード実行を報告した。OpenAIも同日に同じ根本原因を独立して報告し、その後9月18日にOpenAI、8月24日にWizが追加の攻撃ベクトルを報告した。Trail of BitsもPHPの監査を行っている。

## CVE IDの流出とリリースの前倒し

2026年10月20日（火）15時頃（UTC）、2件のCVE IDがオンラインフォーラムやSNSで流通し始めた。流出した情報には誤ったリリース時刻と、誤ったCVSSスコア10.0が含まれていた。実際のスコアは9.2である。CVE IDの流通では技術的詳細は漏れなかった。

PHPプロジェクトは事前告知を19:30 UTCに前倒しし、リリースを10月22日14:00 UTCから10月21日14:00 UTCへ1日前倒しした。10月20日23:00 UTC頃から一部の重要インフラ事業者に提供され始めた緩和策の助言も、漏れた可能性がある。

10月20日20:00 UTC頃、Calif が誤って、複数の標的に対して動作する概念実証動画を公開した。この動画では限定的ではあるものの、いくつかの追加的な詳細も明らかになった。削除後も動画の複製がSNSで拡散した。この動画が様々なPoCの開発を加速させ、10月21日の流通増加につながった可能性がある。

10月21日07:41 UTC、Chainguardは修正を含むビルド済みイメージを公開し、エンバーゴを破った。これは調整されたリリースより6時間以上前のことである。PHPセキュリティチームは、リリース時点および公開時点で機能するエクスプロイトを確認していないとしている。

## PHPセキュリティ体制と資金

2026年5月、PHP FoundationはEcosystem Security Teamを創設した。7月にはAlexandre Daubois氏がPHP Foundationに加わり、セキュリティ報告のトリアージ、対応、修正を支援している。9月にはDaniel Scherzer氏が、ハードニング作業のためにPHP Foundationに参加した。

今年初めには、PHP FoundationがAlpha-OmegaとともにAnthropicのClaude Mythosを使ってPHPをスキャンした。Mythosによるスキャン以降、チームは報告とエクスプロイトの検証のために、OpenAIのDaybreak Redをサニタイザービルドや再現環境とともに追加している。

2026年7月1日以降、PHPセキュリティチームは15件のCVEを公開した。その一方で、無効、重複、または再現不能であった100件以上の報告にも対応した。

*この記事は元記事の事実のみに基づいて