本文へ
ハクソク

世界を動かす技術を、日本語で。

PHP 8.2.35

元記事: 原文(github.com)

概要

PHP開発チームが PHP 8.2.35 のリリースを発表 2件の 重大な脆弱性 （CVE-2026-109618, CVE-2026-109619）を修正 未認証のリモートコード実行 のリスク 即時アップデート が強く推奨 PHP 8.2の サポート終了日 は2026年12月31日

PHP 8.2.35 セキュリティリリースのお知らせ

  • PHP開発チームによる PHP 8.2.35 の即時公開
  • 2件の クリティカルな脆弱性 （CVE-2026-109618, CVE-2026-109619）の修正
  • 脆弱性内容： 未認証のリモートコード実行 が可能となるリスク
  • 全PHP 8.2ユーザー に対し、即時アップデートを強く推奨
  • 完全な緩和策は存在せず、アップデートのみが安全策
  • 詳細は セキュリティアドバイザリ を参照
  • PHP 8.2 のサポート終了日は 2026年12月31日
  • サポート終了後は セキュリティ修正の提供なし
  • 今後のために サポート対象バージョン へのアップグレード計画を推奨
  • PHP 8.2.35のソースダウンロード は公式ダウンロードページにて提供
  • Windows用ソースおよびバイナリ も同ページにて入手可能
  • 変更履歴は ChangeLog に記録

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

ondrej/phpリポジトリのパッチが通常どれくらいの時間で適用されるか知ってる人いる？

└

Ondrejはすでに「deb.sury.orgはビルドされたパッケージを提供する」と言ってるよ。 https://codeberg.org/oerdnj/deb.sury.org/issues/145#issuecom...

└

18分前にアップデートをインストールしたけど、もう反映されてるよ。

詳細が書かれたアドバイザリーは公開されてるよ: https://github.com/php/php-src/security/advisories/GHSA-w8hw... https://github.com/php/php-src/security/advisories/GHSA-6wmf...

└

PHPはlongjmp()を使ってる いいスタートだね。

└

これって、共有された緩和策で、まだfpmの使用には影響しないってことを正しく理解してる？クラシックCGI（mod_phpじゃなくて）も影響を受けてないよね？

関連するタグをクリックしてみて: >「このコミットはこのリポジトリのどのブランチにも属していません。リポジトリの外にあるフォークに属している可能性があります。」素晴らしいね。今日のような日は本当に慎重にならざるを得ない。編集: うん、あんまり気分が良くないな: https://github.com/php/php-src/compare/php-8.2.34..php-8.2.3... ただのミスであってほしいけど、少なくともリリースが失敗してるっぽい。

└

古いバージョンでも同じだね。だけど、フォークにしか存在しないコミットにタグを付けられるのがよく分からないな。ちょっと誤解を招くかもしれないし、そのコミットを含むブランチがないってことだけを意味してるのかな？

Wiz、Calif、OpenAIの間で協調開示があったみたいだね: https://www.php2shell.com/ https://www.wiz.io/blog/php2shell-php-rce https://calif.io/php2shell/ https://openai.com/index/coordinated-disclosure-of-critical-... (まだ公開されてない) https://thephp.foundation/blog/2026/10/21/todays-php-securit... (まだ公開されてない)

└

なんでWordPressがそのリストから外れてるの？ホスティングされてるやつとセルフホスティングのやつを合わせて、インターネット全体で唯一の主要なPHPインストールじゃないの？

└

過去2ヶ月間、私たちはウェブサイトやウェブアプリケーションを運営するために使われるオープンソースのプログラミング言語PHPの重大な脆弱性に対処するため、メンテナや研究者、セキュリティ提供者の連合を率いてきました。そして、誰かが話したことでこれを台無しにしました。私には、彼らがこれをPRスタントに使って、RCEを狙ったように見えます。

└

バグを認めるのにほぼ1ヶ月かかったのは驚きだね。2026年8月24日：Wiz ResearchがPHPセキュリティチームに脆弱性を報告。2026年9月21日：PHPが報告を認め、協調的な修正の開発を開始。

Hacker Newsで議論の続きを見る

同じ出典の記事