PHP公式がユーザーに緊急アップデートを促し、深刻なリモートコード実行脆弱性の影響を回避するよう呼びかけ

Odaily星球日报

PHP公式はセキュリティアドバイザリを公開し、先に開示された2件の深刻なリモートコード実行（RCE）脆弱性、CVE-2026-109618およびCVE-2026-109619に対応した。攻撃者は認証なしでこれらの脆弱性を悪用し悪意のあるコードを実行する可能性があり、PHP公式は全ユーザーに直ちにアップグレードするよう強く推奨している。

今回の脆弱性はPHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなどWebリクエストを処理するPHP環境に影響を与え、特にApache mod_phpのリスクが際立っており、アプリケーションコードが実行される前に攻撃が引き起こされる可能性がある。

公式は修正バージョンPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開済みである。PHP 8.1以前のバージョンを依然使用しているユーザーは、ディストリビューションまたは長期サポート（LTS）ベンダーにパッチ状況を確認するか、サポート対象バージョンにアップグレードすべきである。公式は、一時的な緩和策ではリスクを完全に排除できないと強調し、直ちにセキュリティアップデートをインストールすることが脆弱性を根本的に解決する方法であるとしている。