PHPのWebリクエスト処理で、認証なしの攻撃者がコードを実行できる重大な脆弱性が2件確認されました。影響を受ける可能性があるのは、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するすべてのPHP環境です。特にmod_phpでは、アプリケーションコードが実行される前に攻撃を受ける実証済みの攻撃があるとして、リスクが最も高いとされています。 脆弱性は、メモリ不足処理の不備による「CVE-2026-109618」と、解放済みメモリに紐づく状態が残る問題「CVE-2026-109619」です。 PHP Groupは、PHP 8.5.12、8.4.27、8.3.36、8.2.35への更新を案内しています。Linuxディストリビューションや長期サポート（LTS）提供元のパッケージを使っている場合は、各提供元の更新を確認してください。 PHP 8.1以前はPHPプロジェクトの更新対象外です。一部のディストリビューションやLTS提供元は修正を提供しているため、提供元に確認するか、サポート対象バージョンへ更新する必要があります。PHP 7.4、8.0、8.1向けには、ソースからビルドする利用者などを対象に、最小限の修正を反映したバックポートも提供されています。 すぐに更新できない場合、PHP Groupは攻撃経路ごとの露出を減らす設定として、メモリ制限の変更、`post_max_size`の引き下げ、コンテナやcgroupによる制限、`session.upload_progress.enabled=0`の設定などを挙げています。ただし、これらは安全な状態にする完全な対策ではなく、更新が必要です。 session.upload_progress.enabled=0を設定した場合は、すべてのPHPワーカーを再起動する必要があります。なお、こうした設定変更だけでは完全な対策にならず、修正版への更新が必要です。