PHPは、セキュリティアップデートである以下のバージョンを10/21（現地時間）にリリースした。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

• Security advisory: Critical remote code execution vulnerabilities, update now 21 Oct 2026 – PHP

【見つかった問題】

• 脆弱性の内容：CVE-2026-109618 （通称：GHSA-w8hw-w9fx-j79w）（OOMエラー処理に関するもの）、CVE-2026-109619（通称：GHSA-6wmf-4rv5-p3rp）（リクエスト処理およびステート管理に関するもの）
• 内容：メモリ不足（OOM）エラーの処理やグローバル状態の不備（Use After Free）に起因し、認証なしで遠隔から任意のコードを実行される恐れあり。
• PHPの対応：深刻度が「9.2、重大（Critical）」とされるセキュリティ脆弱性（CVE-2026-109618、CVE-2026-109619）に対応するため、アップデート版を公開
• 影響を受けるPHPのバージョン：
  • PHP 5.X以降
• 対応方法：対応バージョンへのアップデート
  • 8.2から8.5まで　→　修正版
  • すでにサポート終了（EOL）となっているPHP 8.1以前　→　PHPが用意した修正版はないが、一部ベンダーがそれぞれ独自にパッチを当てている事例あり。

【その他の参考ページ】

• PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell) – 情報処理推進機構

【その他】

借りているレンタルサーバーは、10/21の16時から公式サイトや管理画面が、メンテナンスモードに入った。10/21の23時に、修正版が公開され、プロバイダが順次アップデートを適用。朝方には作業が終了した。顧客側ではすることはなかった。

フロントエンド側の自分のサイトやWordpressには、その間、影響なし。通常運用のまま。

先日のwp2shellと同様に、アクセス権限がないものが外部からサーバー上のPHPを直接操作できるようになるセキュリティホール（wp2shellは、アクセス権限がないものが外部からWordPressを直接操作できるようになるセキュリティホール。）。なお、wp2shellとphp2shellは、名称は似ているが別物。

WordPress 7.1.2リリース（セキュリティアップデート）