Ubuntu と Debian
php*-common と Web ハンドラのパッケージを特定し、両 CVE のトラッカーを確認します。例は PHP 8.3 用なので実際のブランチに変更してください。修正版がリポジトリにあることを確認します。changelog の記載なしは安全の証明になりません。
ディストリビューションのバックポート
Ubuntu、Debian、企業向け Linux は古い上流番号を保ったまま修正する場合があります。8.3.6 だけでは判断できません。OS、リポジトリ、アーキテクチャ、パッケージ番号と両方の CVE を照合します。架空の修正パッケージ番号は掲載しません。
3. 全環境を再起動して検証
新しいファイルでもメモリ上のワーカーは古いままです。mod_php は Apache、FPM は対象サービスとプールを再起動し、キューも更新します。開始時刻、Web バージョン、パッケージ、正常性、全レプリカを確認。診断ページは直ちに削除し、phpinfo() を公開しないでください。
コマンド例 / DEBIAN
shell
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'
apt-cache policy php8.3-common php8.3-fpm
# Search your installed package's security changelog.
zgrep -Ei 'CVE-2026-109618|CVE-2026-109619' \
/usr/share/doc/php8.3-common/changelog.Debian.gzコマンド例 / APT
shell
sudo apt update
apt list --upgradable
# Example: installed PHP 8.3 packages; use your actual branch.
sudo apt install --only-upgrade php8.3-common php8.3-fpm php8.3-cli
sudo systemctl restart php8.3-fpm
systemctl status php8.3-fpm --no-pager一次資料と関連情報
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Ubuntu security trackerCVE-2026-109618 · Distribution package status
Debian security trackerCVE-2026-109618 · Distribution package status
次の対応3. 全環境を再起動して検証 ↗