メモリ不足時の破損

CVE-2026-109618 は OOM による早期終了後、初期化途中のメモリが終了処理で使われる問題です。修正は新しいソフト・ハードメモリ処理を導入します。mod_php では完全な RCE を確認済み。FPM はアプリ依存の危険性があるものの、この CVE の完全な FPM 実証は報告されていません。

FPM は安全ですか？

いいえ。FPM はリクエスト開始失敗時に子プロセスを終了し、一部の開始時経路を防ぎますが、アプリやリクエスト間の経路は残ります。mod_php と全環境の条件が同じとは限りませんが、FPM も更新が必要です。

メモリ設定は慎重に

memory_limit=-1 は PHP 制限に起因する一部 OOM のみを軽減し、OS の割当失敗は残ります。独立したコンテナや cgroup 制限を用意し、RLIMIT_AS と RLIMIT_DATA は使わないでください。デコード後サイズ、multipart ヘッダー、パーツ、深さを制限します。post_max_size のみでは不十分です。

2. 修正済みビルドを導入

最初の修正版は 8.2.35、8.3.36、8.4.27、8.5.12 です。サポート対象のブランチと対応拡張を選び、アプリとヘルスチェックを試験してください。PHP または担当ベンダーから入手します。WAF や CMS の更新は代替になりません。

4 つのブランチ。明確な更新先。
PHP ブランチこの番号未満の上流版最初の修正版セキュリティサポート終了
PHP 8.5< 8.5.12✓ 8.5.122029年12月31日
PHP 8.4< 8.4.27✓ 8.4.272028年12月31日
PHP 8.3< 8.3.36✓ 8.3.362027年12月31日
PHP 8.2< 8.2.35✓ 8.2.352026年12月31日
PHP 8.1 以前をお使いですか？

これらの通常リリースはありません。7.4、8.0、8.1 の最小ソースバックポートは公開されています。ベンダーの対応は別途確認が必要です。 ガイドを読む ↗

一次資料と関連情報

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
次の対応3. 全環境を再起動して検証 ↗