「PHP 8.5.12」など4系列を緊急リリース ─ CriticalのRCE脆弱性2件を修正

認証なしでコードを実行される可能性、PHP公式は全利用者に即時更新を要請

10月22日 10:29

　The PHP development teamは10月21日(現地時間)、「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」をリリースした。いずれも、認証なしのリモートコード実行につながる緊急性の高い脆弱性2件を修正したセキュリティリリースとなる。

　「PHP」は、Webアプリケーションや動的なWebサイトの開発で広く利用されているオープンソースのプログラミング言語。PHP-FPM、Apacheのmod_php、php-cgiのほか、FrankenPHPやLiteSpeedなどを通じてWebサーバ上で実行される。

　今回修正されたのは、メモー不足時の処理に起因するCVE-2026-109618と、解放済みメモリーを参照するCVE-2026-109619。いずれもCVSS v4.0の基本値は9.2で、深刻度は「Critical」と評価されている。

　「CVE-2026-109618」は、メモリ不足が発生した際、PHPが処理中のリクエストを中断する仕組みに関する脆弱性。内部のリクエストデータが完全に初期化される前にメモリ割り当てが失敗すると、終了処理が不正なデータを有効なものとして扱い、メモリ破損からコード実行に至る可能性がある。

　CVE-2026-109619では、エラー、セッション、オブジェクト、拡張機能などに関する内部状態が、リクエストの終了後もワーカー内に残る場合がある。後続のリクエストが同じワーカーで処理されると、解放済みメモリーへの参照によってUse After Freeが発生し、メモリー内容の漏えいやコード実行につながる。

　いずれも攻撃には一定の条件が必要だが、事前の認証や利用者の操作は必要ない。CVE-2026-109618では、標準的な設定のmod_phpに対するHTTP経由のコード実行が確認された。CVE-2026-109619についても、mod_phpとPHP-FPMでコード実行が実証されている。実行されるコードの権限はWebワーカーの実行アカウントとなる。

　PHP公式は、Webリクエストを処理するすべてのPHP環境が影響を受けるとしている。設定変更によって一部の攻撃経路を減らすことはできるものの、完全な回避策は存在せず、アップデートだけが安全な対策としている。

　PHP 8.5利用者は8.5.12、8.4利用者は8.4.27、8.3利用者は8.3.36、8.2利用者は8.2.35へ、直ちにアップデートを施す必要がある。また、アップデート適用後にはPHP-FPM、Apache、LiteSpeedなどのプロセスを再起動する。コンテナ環境では修正版を含むイメージへ更新し、すべてのワーカーが新しいバイナリーで動作していることを確認する。

　PHP 8.1以前はすでにPHPプロジェクトのサポートを終了している。PHP 7.4、8.0、8.1にはソースからビルドする利用者向けの最小限のバックポートが用意されたが、通常の修正版は公開されていない。

(川原龍人/びぎねっと)

この記事をシェアしてください