CVE-2026-109618: PHPメモリ破損脆弱性

Rapid7によると、2026年10月21日、PHPプロジェクトはPHPの2つの重大な脆弱性に対するセキュリティリリースを発表しました[3]。Rapid7はCVE-2026-109618はメモリ不足（OOM）処理中にメモリを破損する可能性があると報告しています[3]、また両方の欠陥はCVSSv4スコアが9.2です[3]。watchTowrは詳細が計画された2026年10月22日の開示日前にソーシャルメディアに漏洩したと報告しています[1]。Sansecによると、Cloudflareは2026年10月21日の午前07:43 UTC時点で14:00 UTCのリリース前に初期攻撃を報告しました[2]。PHPグループはPleskの引用によると、mod_phpのリスクが最も高いと考えており、認証されていないリクエストがアプリケーションコードが実行される前に攻撃をトリガーできるという実証済みのエクスプロイトがあります[4]。SansecはPHPのアップロード進捗ハンドラがPHPSESSID応答クッキー内のクライアントに解放されたワーカーメモリを返す可能性があると述べています[2]。Rapid7は公開されたプルーフオブコンセプトエクスプロイトは特定の設定に対してのみ機能し、「どれも広く信頼できるようには見えません」と述べています[3]。Sansecは公開されているエクスプロイトはデフォルトのPHPインストールに対しては機能しないと報告しています[2]。AWSによると、パッチが適用されたPHPリリースへの即座のアップグレードが唯一の完全な修正です：8.5.12、8.4.27、8.3.36、または8.2.35[5]。Rapid7はPHPがPHP 7.4、8.0、および8.1の制限されたソースバックポートを提供していると報告しています[3]。パロアルトネットワークスのCortex Xpanseは2,260万以上の脆弱である可能性のあるエクスポーズされたインスタンスを発見したと述べています[6]。watchTowrは2026年10月22日現在、CISAはどちらのCVEもその既知の悪用脆弱性カタログに追加していないと報告しています[1]