PHP 8.5.12、8.4.27、8.3.36、8.2.35 リリース

概要

PHP 8.5.12、8.4.27、8.3.36、8.2.35 で、 認証不要のリモートコード実行 を可能にする 重大な脆弱性2件 が修正。 すべてのPHPユーザーは 直ちにアップデート が強く推奨される。 特に mod_php 利用時のリスクが最大。 完全な対策はアップデートのみ であり、他の緩和策は限定的効果。 脆弱性の詳細や対応策、過去のリリース情報も案内。

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35：重大な脆弱性修正リリース

• PHP 8.5.12、8.4.27、8.3.36、8.2.35 で 2件の重大な脆弱性 （CVE-2026-109618, CVE-2026-109619）を修正
• 認証不要のリモートコード実行（RCE） を許す恐れ
• 影響範囲 ：PHP-FPM、Apache（mod_php）、php-cgi、FrankenPHP、LiteSpeedなど すべてのWeb向けPHP実装
• mod_php でのリスクが特に高く、アプリケーションコード実行前に攻撃可能な実証例あり
• 全ユーザーに即時アップデート を強く推奨

脆弱性の詳細

• CVE-2026-109618（RCE via OOM corruption）

  • PHPの メモリ不足時の処理 に欠陥
  • 内部リクエストデータが不完全なまま処理が進み、 無効なデータが有効として扱われる 恐れ

• CVE-2026-109619（RCE via stale global state）

  • 解放済みメモリのグローバル状態 が次のリクエストで再利用される可能性
  • 初期化前に 古い状態が悪用 されるリスク

アップデート方法

• 対応バージョン： PHP 8.5.12、8.4.27、8.3.36、8.2.35
• 公式ダウンロードページ でソース・Windowsバイナリ入手可能
• LinuxディストリビューションやLTSベンダー も事前に修正パッチ配布済み
• PHP 8.1以前 は公式サポート終了、ベンダーによるバックポート確認推奨

アップデートできない場合の一時的緩和策

• CVE-2026-109618対策

  • memory_limit=-1を php_admin_value 等で設定し、アプリケーションで上書き不可に
  • post_max_sizeを 8M（ファイルアップロード不要時）、 32M（必要時） に設定
  • upload_max_filesizeをpost_max_size未満に
  • Webサーバやプロキシで リクエストサイズ、入力数、ヘッダー数などに制限 を設ける
  • cgroupやコンテナでのリソース制限 も有効

• CVE-2026-109619対策

  • session.upload_progress.enabled=0を php.iniやFPM pool設定 で適用し、全ワーカー再起動
  • ini_setや.user.iniでは不十分
  • PHP 8.5ではfatal_error_backtraces=0も推奨
  • 初期化前に診断情報を出す設定やエラー を排除

• これらの緩和策は 完全な解決策ではなく、アップデートが唯一の安全策

その他の情報

• PHP 8.2 は 2026年12月31日 でサポート終了予定
• PHP 7.4、8.0、8.1 向けには 最小限のソースバックポート も提供
• 最新リリースや変更履歴 は公式サイトの ChangeLog 参照

今後のリリース・スケジュール案内

• 2026年10月21日 14:00 UTC に次回重大脆弱性修正版リリース予定
• CVSS v4.0 9.2 評価の脆弱性2件を修正予定
• リリース前倒しの可能性 もあり、事前準備を推奨

PHP 8.6.0 リリース候補・ベータ版情報

• PHP 8.6.0 の RC2/RC3/Beta3 が公開中
• 新機能や変更点 はNEWSファイル/UPGRADINGファイル参照
• 本番環境利用不可、テスト協力要請
• 次回リリース予定日 も随時公開

過去のセキュリティ・バグ修正リリース

• PHP 8.5.11、8.4.26、8.3.35、8.2.34 などでも セキュリティ修正
• 各バージョンの ダウンロードと変更履歴 は公式サイトで確認可能

---

PHPユーザーは常に最新バージョン利用と公式情報の確認を推奨