カーネギーメロン大学のCERT/CCは2026年10月22日、PHPのメモリ関連の脆弱性2件を公開しました。ネットワーク経由でPHPのWebサービスにアクセスできる攻撃者が、細工したHTTP要求を送り、認証なしで任意のコードを実行できる恐れがあります。CERT/CCは全PHP利用者に修正版への即時更新を強く推奨しています。
ログイン前の処理が攻撃対象、mod_phpは特に注意
対象は、PHPの8.2系列では8.2.35未満、8.3系列では8.3.36未満、8.4系列では8.4.27未満、8.5系列では8.5.12未満です。
CVE-2026-109618は、メモリ不足時の処理にあるメモリ破壊の脆弱性です。要求の処理を初期化している途中でメモリ不足になると、後処理で不正なメモリに触れる恐れがあります。
CVE-2026-109619は、使い終えて解放したメモリを再び参照する脆弱性です。同じワーカー、つまり要求を処理するプロセスが、後続の要求で解放済みの要求データを参照する恐れがあります。
CERT/CCは、ApacheにPHPを組み込むmod_phpの運用環境を、特にリスクが高いとしています。この環境では、アプリが動く前の段階に、認証不要の要求で攻撃できることを実証済みです。アプリのログイン機能だけを根拠に、対応不要とは判断できません。
なお、攻撃できることの実証と、実際の悪用の確認は別です。今回の資料には、実際の悪用や被害の有無は書かれていません。
修正版への更新が基本、暫定設定だけでは不十分
修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。修正版のソースは公式サイトのphp.net/downloadsで入手できます。Linux利用者には、ディストリビューションの提供元に更新パッケージを確認するよう案内しています。日本での提供は発表には書かれていません。
公式更新が終了したPHP 8.1以前については、長期サポートを行うLTS提供元への修正確認か、サポート対象版への移行を推奨しています。PHPセキュリティチームは7.4、8.0、8.1向けに限定的な修正の移植も提供しました。ただし、これを通常の公式更新が再開したという意味で受け取らないようにしてください。
CERT/CCは、暫定的な設定変更だけでは完全に保護できず、2件の両方への対策が必要だとしています。要求本文のサイズや入力変数数の制限、ネットワーク分割、PHPの最小権限運用、異常なプロセス挙動の監視も案内していますが、更新の代わりにはなりません。
影響する会社・しない会社
- 影響する: 対象となるPHPの版でWebサービスを動かし、ネットワーク経由でアクセスできる会社です。Apache mod_php環境は特に優先して確認する必要があります。
- 影響する: PHP 8.1以前を使い続けている会社です。公式更新が終了しているため、LTS提供元の修正状況か移行先を確認する必要があります。
- 影響しない: PHPを利用していない会社は、今回のPHP脆弱性の直接の対象ではありません。委託先を含め、PHPの利用有無を確認してから判断してください。
- 影響しない: 今回の2件への修正が適用済みの環境は、記載された脆弱な版の範囲には入りません。アプリの名称だけでなく、実際に動くPHPの版と修正状況で判断します。
