重要ポイント
- PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開(2026年10月21日)。リモートからのコード実行につながる重大な脆弱性2件(CVE-2026-109618・CVE-2026-109619、どちらも CVSS v4.0 で 9.2)を修正しています。
- 影響を受けるのは8.2.35・8.3.36・8.4.27・8.5.12 より前のバージョン。PHP 8.1 以前は公式の修正版が出ていません。
- 認証なしで攻撃される可能性があり、特に Apache の mod_php で影響が大きいとされています。Cloudflare は公開前から攻撃の試みを観測したと発表しましたが、侵入に成功した例は確認されていません(CISA の悪用リストにも未掲載、2026年10月21日時点)。
- Amazon Linux 2023 のパッケージ(ALAS)は、この記事の公開時点では未公開です。公開されたら続報でお知らせします。
追記(2026年10月22日): Amazon Linux 2023 でも修正版が公開されました(ALAS2023-2026-3301〜3304、php8.3-8.3.36-1.amzn2023.0.1、php8.4-8.4.27-1.amzn2023.0.1 など)。→ 続報の記事
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| PHP 8.5 | 8.5.12 より前 | 8.5.12 |
| PHP 8.4 | 8.4.27 より前 | 8.4.27 |
| PHP 8.3 | 8.3.36 より前 | 8.3.36 |
| PHP 8.2 | 8.2.35 より前 | 8.2.35(2026年12月31日でサポート終了予定) |
| PHP 8.1 以前 | 公式情報で範囲は未公表 | サポート終了。公式サイトは 7.4・8.0・8.1 向けの修正(バックポート)を案内。8.2 以降への移行を |
| Amazon Linux 2023(php8.3・php8.4 など) | — | 公式の修正版は未公開 | 公開されたら続報でお知らせします |
対処: 使っているブランチの修正版に更新し、PHP-FPM(または Apache)を再起動します。OS のパッケージ・Docker イメージを使っている場合は、配布元の修正版が出てから更新します。更新できるまでの応急策は、php.net の公開ページ(Security Release の案内)にあります。応急策は更新の代わりにはなりません。
確認: php -v(CLI)、php-fpm -v。Amazon Linux 2023 は rpm -qa | grep -E '^php8' と cat /etc/amazon-linux-release。
概要
PHP プロジェクトは2026年10月21日、予告していたセキュリティリリースを公開しました。修正されたのは、リモートからコード実行(RCE)につながるおそれのある2件で、どちらも CVSS v4.0 のスコアは 9.2(Critical)です。予告記事でお伝えした内容の続報です。WordPress・Laravel・EC-CUBE など PHP で動くアプリを置くサーバーは、すべて更新の対象です。
影響と対処
影響を受けるもの
PHP 8.2〜8.5 の各ブランチで、上の表の修正版より前のバージョンが対象です(GitHub のセキュリティアドバイザリの記載)。サポートが終わった 8.1 以前については、公式サイトが一部のブランチ向けの修正を案内していますが、プロジェクトとしての更新は終了しています。
どんな問題か
1件目(CVE-2026-109618)は、メモリ不足(OOM)が起きたときの処理で、途中まで初期化されたリクエストのデータが正しいものとして後始末されてしまう問題です。2件目(CVE-2026-109619)は、解放されたはずのリクエスト用の状態が残り、同じワーカーで処理される次のリクエストで使われてしまう問題です。いずれも、認証なしで外部からコード実行につながるおそれがあると公表されています。攻撃の手順は書きません。
対処方法
- 最優先で、使っているブランチの修正版に更新する(8.5.12 / 8.4.27 / 8.3.36 / 8.2.35)
- 更新後は PHP-FPM と Web サーバーを再起動し、実際に動いているバージョンを確認する
- Amazon Linux 2023 の
dnfパッケージは ALAS の公開を待つ。待つ間は、公式の応急策(メモリ上限・POST サイズの設定、アップロード進捗の無効化など)を、php.iniやサーバー設定で適用して全ワーカーを再起動する - PHP 8.1 以前を使っている場合は、8.2 以降への移行を急ぐ(8.2 も 2026年12月31日で終了予定)
確認方法
php -v と php-fpm -v でバージョンを確認します。Web から動いている PHP がどれかは、サーバーの設定(fastcgi_pass や Apache のモジュール)で確かめます。
対応チェックリスト
- 動いている PHP のバージョンと入手元を確認する
- 修正版に更新できるか確認し、できないものは応急策を適用する
- PHP-FPM・Web サーバーを再起動する
- Amazon Linux 2023 は ALAS の公開(続報)を待つ
- PHP 8.1 以前のサーバーは移行計画を立てる
出典
- PHP: News Archive 2026(PHP プロジェクト、2026年10月21日)
- GHSA-w8hw-w9fx-j79w(CVE-2026-109618)(php-src、2026年10月21日)
- GHSA-6wmf-4rv5-p3rp(CVE-2026-109619)(php-src、2026年10月21日)
