PHP の脆弱性（CVE-2026-109618）

何が起きた

PHP は、メモリ不足（OOM）が起きると、その時点の処理を途中で打ち切ってリクエストの処理をやめます。このとき、まだ準備ができていないメモリが残ったままになり、後片付けの処理がそのメモリを読んでしまう問題が見つかりました。メモリ不足をわざと起こすことで、リモートコード実行（外部からプログラムを動かすこと）ができます。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用でき、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PHP を使って Web サイトやサービスを動かしている人・組織が対象です。PHP の勧告によると、影響を受けるのは 8.2.35 より前、8.3.36 より前、8.4.27 より前、8.5.12 より前の各版です。勧告では、Apache の mod_php で、標準の設定のままリモートコード実行ができることが確かめられています。

何をすればいい

PHP を 8.2.35、8.3.36、8.4.27、8.5.12 以降（使っている系列に合わせた修正版）に更新し、PHP の公式の案内を確認してください。修正版では、メモリ不足のときの処理の止め方が変わり、壊れた状態が後片付けの処理に渡らないようになっています。勧告は、関連する勧告 GHSA-6wmf-4rv5-p3rp の対策もあわせて行うよう求めています。CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。CISA の注意喚起は、PHP のワーカーのプロセスがシェルを起動したり、ツールをダウンロードしたりしていないか見張るよう呼びかけています。また、すぐに更新できない場合や、サポートが終わった PHP 8.1 以前を使い続けている場合は、更新するまで PHP を使うシステムを止める（オフラインにする）よう求めています。

やることチェックリスト

• PHP を使っている系列の修正版以降に更新する
• PHPのワーカーがシェルを起動していないか見張る
• 関連する勧告 GHSA-6wmf-4rv5-p3rp の対策も行う

用語メモ

メモリ不足（OOM）

プログラムが使えるメモリの上限を超えてしまう状態です。OOM は Out Of Memory の略です。

リモートコード実行 用語集で見る

離れた場所から、攻撃者が選んだプログラムを相手のコンピューターで動かすことです。

mod_php

Apache という Web サーバーの中に PHP を組み込んで動かすしくみです。