CVE-2026-109619: PHP 古い内部リクエスト状態の脆弱性

HuntressはCVE-2026-109619をバッキングメモリが解放された後、PHPがリクエスト固有の状態を保持することによって引き起こされるリモートコード実行の脆弱性[2]と説明している。Huntressによると、同じワーカーが後のリクエストを処理する場合、PHPは通常の初期化がそれをリセットする前にその古い状態にアクセスする可能性がある。[2]Rapid7は両方の脆弱性がCVSSv4スコア9.2を持つ[3]と報告している。また、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedを含むすべてのWebリクエストを提供するインストールが危険にさらされている[3]と付け加えている。Huntressによると、2つの脆弱性の詳細は協調的な開示前およびパッチがリリースされる前にオンラインで漏洩した[2]（10月20日）。HuntressはPHPチームが10月21日にPHP 8.5.12、8.4.27、8.3.36、8.2.35をリリースした[2]と述べている。Google CloudはPHPプロジェクトは人生の終わりに達したPHP 8.1以前のバージョンのフィックスをリリースしていない[4]と報告している。しかし、Rapid7はこのインシデントに対して、PHPはPHP 7.4、8.0、8.1の限定的なソースバックポートを提供した[3]と述べている。Rapid7は複数の公開証明概念(PoC)エクスプロイト[3]が現在存在していると述べているが、どれも広く信頼できるようには見えない。[3]Palo Alto NetworksのUnit 42は、Cortex Xpanseが2つの脆弱性に対して潜在的に脆弱な2,260万以上の公開インスタンス[5]を発見したと述べている。CISAはパッチを適用できない、またはPHP 8.1以前を実行している組織はパッチが当たるか更新されるまで、PHPベースのシステムをオフラインに取る必要があると述べている。[1]