リクエスト間の残留状態
CVE-2026-109619 では解放済みメモリへの参照がワーカーに残り、同じワーカーの次のリクエストが初期化前に使用します。PHP 8.5 の致命的エラーバックトレースとセッションアップロード進捗の経路が確認されています。mod_php と適切なアプリ経路を持つ FPM で RCE が実証済みです。
FPM は安全ですか？
いいえ。FPM はリクエスト開始失敗時に子プロセスを終了し、一部の開始時経路を防ぎますが、アプリやリクエスト間の経路は残ります。mod_php と全環境の条件が同じとは限りませんが、FPM も更新が必要です。
進捗とバックトレース
解析前に session.upload_progress.enabled=0 を適用し再起動します。PHP 8.5 の fatal_error_backtraces=0 は確認済み経路のみを除きます。早期診断を出す無効な INI 設定を除去します。display_errors、error_reporting、@ は問題を防ぎません。すべての変体には対応しません。
2. 修正済みビルドを導入
最初の修正版は 8.2.35、8.3.36、8.4.27、8.5.12 です。サポート対象のブランチと対応拡張を選び、アプリとヘルスチェックを試験してください。PHP または担当ベンダーから入手します。WAF や CMS の更新は代替になりません。
| PHP ブランチ | この番号未満の上流版 | 最初の修正版 | セキュリティサポート終了 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029年12月31日 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028年12月31日 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027年12月31日 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026年12月31日 |
PHP 8.1 以前をお使いですか？
これらの通常リリースはありません。7.4、8.0、8.1 の最小ソースバックポートは公開されています。ベンダーの対応は別途確認が必要です。 ガイドを読む ↗
一次資料と関連情報
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
次の対応3. 全環境を再起動して検証 ↗