PHP に、悪用が確認された未認証リモートコード実行の経路が二つある。CVE-2026-109618 はメモリ不足（OOM）時の longjmp() 抜けでリクエストメモリが中途半端なままシャットダウンに進むメモリ破損、CVE-2026-109619 は前リクエスト由来の内部状態が次リクエストの初期化前に参照される stale internal request-state である。CISA は「php2shell」と呼ばれるこの組み合わせを KEV カタログへ追加し、インターネット公開の PHP では修正版への即時更新を求めている。

影響:

  • 対象: Web リクエストを処理する PHP 全般（Apache mod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed など）。8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 未満のサポート中ブランチ。8.1 以前は公式サポート外。
  • CVE-2026-109618: multipart 解析や巨大割り当てなどで OOM に至ったあと、無効なリクエスト状態をシャットダウンが処理しうる。mod_php ではリクエスト起動失敗後もシャットダウンが走るため、PHP 側はリスクが最も高いと位置づける。
  • CVE-2026-109619: ワーカーが保持するエラー・セッション等のグローバル状態が、次リクエストの通常初期化より前に触られうる use-after-free 経路。
  • 公開区分: 連邦 civilian 向け BOD 26-04 では KEV 掲載 CVE についてフォレンジック確認が要るケースがあり、当該二件は triage 対象（Due Date はカタログ記載に従う）。

対処:

  • 更新先: PHP 8.2.35、8.3.36、8.4.27、8.5.12（いずれも Core で GHSA-w8hw-w9fx-j79w と GHSA-6wmf-4rv5-p3rp を修正）。
  • 即時パッチが無理な場合、CISA は 8.1 以前を含めパッチ適用まで PHP ベースのシステムをオフラインにする選択肢を示す。WAF は完全代替にならない。
  • Windows 向け末尾 -1 の Brotli 再ビルド（CVE-2026-111497）とは別件。本件は PHP コアのソース修正を含むランタイム更新が必要。

#参考文献