PHP Group PHP のuse-after-freeの脆弱性（CVE-2026-109619）

何が起きた

PHP には、処理中のリクエストのメモリを一時的に指す内部の状態（グローバルな状態）があります。この状態が正しく元に戻されず、メモリが解放された後も古い場所を指したまま、次のリクエストで使われてしまう問題が見つかりました。これを利用して、リモートコード実行（外部からプログラムを動かすこと）ができます。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用でき、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PHP を使って Web サイトやサービスを動かしている人・組織が対象です。PHP の勧告によると、影響を受けるのは 8.2.35 より前、8.3.36 より前、8.4.27 より前、8.5.12 より前の各版です。勧告では、mod_php と FPM で実際にリモートコード実行ができることが確かめられています。

何をすればいい

PHP を 8.2.35、8.3.36、8.4.27、8.5.12 以降（使っている系列に合わせた修正版）に更新し、PHP の公式の案内を確認してください。勧告は、修正版への更新だけが確実な対策で、設定だけで全部を防ぐ方法はないとしています。すぐに更新できない場合、勧告は session.upload_progress.enabled=0 を設定し（PHP 8.5 ではさらに fatal_error_backtraces=0 も設定し）、すべてのワーカーを再起動するよう案内していますが、防げるのは確認済みの攻撃の一部だけです。勧告は、関連する勧告 GHSA-w8hw-w9fx-j79w の対策もあわせて行うよう求めています。

やることチェックリスト

• PHP を使っている系列の修正版以降に更新する
• 更新後にすべてのワーカーを再起動する
• すぐ更新できないときは勧告の設定を入れて再起動する

用語メモ

リモートコード実行

離れた場所から、攻撃者が選んだプログラムを相手のコンピューターで動かすことです。

ワーカー

Web サーバーの中で、届いたリクエストを順番に処理するプロセスのことです。1つのワーカーが複数のリクエストを続けて処理します。

FPM

PHP-FPM のことで、Web サーバーとは別に PHP を動かして、リクエストを処理するしくみです。