「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開

プログラム言語「PHP」に深刻な脆弱性2件が判明した。開発チームはセキュリティアップデートをリリースし、利用者に更新するよう強く呼びかけている。

PHP開発チームは協定世界時2026年10月21日、セキュリティアドバイザリを公開し、「CVE-2026-109618」「CVE-2026-109619」について明らかにした。

前日20日に公開を予告していたもので、共通脆弱性評価システム「CVSSv4.0」のベーススコアはともに「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

「CVE-2026-109618」は、メモリ不足が発生した際の処理に起因する脆弱性。リクエストに関するデータの初期化が完了する前に処理が中断され、メモリ内の不正なデータがクリーンアップ処理時に有効なデータとして扱われ、コードの実行につながるおそれがある。

一方の「CVE-2026-109619」は、リクエストの処理が終了し、メモリの解放後も一部の状態が残存する脆弱性。同じワーカープロセスの後続リクエストで参照され、コード実行につながるおそれがある。

（Security NEXT - 2026/10/21 ）ツイート