このタグの記事 1 件
PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行される（RCE）おそれのある重大な脆弱性2件を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めた。脆弱性はメモリ不足の処理に関するCVE-2026-109618と、リクエストをまたいで古い内部状態が残るCVE-2026-109619で、どちらもCVSS v4.0で9.2。Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象で、開発チームはmod_phpの危険が最も高いとし、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている。8.1以前は公式の更新がなく、7.4・8.0・8.1向けにはソースへの最小限の修正だけを提供した。Linuxの配布元には事前に修正が渡されている。完全な回避策はなく、更新だけが安全な選択だとしている。10月22日にはIPAとJPCERT/CCが注意喚起を出し、JVNもJVNVU#99905564を公開した。米CISAは、公表の時点で悪用を観測していないとしている。侵入が確定したという発表は、10月22日13時45分時点で見当たらない。レンタルサーバーは多くの事業者が適用の完了を知らせたが、まだ完了を知らせていない事業者もある。当サイトの結論：PHPを使うサイトは、自分で更新するのか事業者が更新するのかを確かめ、今日のうちに修正版へ上げる。レンタルサーバーでは、各社の完了のお知らせを公式サイトで確かめる。