PHPプロジェクトは、2026年10月21日水曜日14時（UTC）に、プログラミング言語のバージョン8.5.12、8.4.27、8.3.36、および8.2.35を公開した。これらは、CVSS v4.0スケールで9.2と評価された2つの脆弱性、CVE-2026-109618およびCVE-2026-109619を修正するもので、認証なしでのリモートコード実行を可能にする可能性がある。CVE識別子は参照されるセキュリティ上の欠陥を指し、CVSSスコアはその深刻度を測定する。
編集者によると、PHP-FPM、mod_phpを搭載したApache、php-cgi、FrankenPHP、またはLiteSpeedを使用してWebリクエストを提供するすべてのインストールが影響を受け、mod_phpを使用した場合のリスクが最も高いと判断されている。同日、CERT-FRはその警告CERTFR-2026-ALE-014を更新し、内務省は県庁を含む公開されたサイトを閉鎖した。PHP Foundationが公開したタイムラインによると、最初の脆弱性の原因となった欠陥は2024年から特定されていたが、既知の攻撃ベクトルはなかった。
2024年の監査で発見された欠陥
2024年、PHPは数年ぶりに外部セキュリティ監査を受けた。ドイツのSovereign Tech Agencyが資金を提供し、OSTIFが組織し、フランスのQuarkslab社が実施したこの監査により、PHPコアの開発者は、指摘された問題の1つを修正する際に、メモリ枯渇エラー（out-of-memory）に関連する欠陥の初期兆候を発見した。当時、具体的な攻撃ベクトルはなく、悪用は理論上のものだった。
その後、修正は調整に直面した。検討された各アプローチは互換性を損ない、サービス拒否のリスクを開き、または多数のサードパーティ拡張機能に変更を強いるもので、調整は不可能だった。合意によって決定するセキュリティチームは、この作業が「数ヶ月にわたって何度も停止し、再開した」と述べている。財団は「遅延は構造的な失敗であった」と書き、この意思決定方法とリソース不足が原因だとしている。
Calif、OpenAI、Wiz：実証の夏
Patch the Planetプログラムの一環として、Calif社は2026年7月30日にPHPの監査を開始した。8月11日、同社の研究者Ryan A.は、2024年の欠陥と同じ根本原因による無条件のリモートコード実行を報告した。OpenAI（財団はCodex Securityチームの功績としている）も同日に同じ原因を報告した。Wiz Researchは8月24日に他の攻撃ベクトルを報告した。財団によると、8月11日以降、修正はセキュリティチーム全体の最優先事項となった。
Wizは、自社のツールWiz Atlas、GoogleのGemini 4 Argon、およびOpenAIのGPT-5.6 Solを使用したと述べている。同社のタイムラインによると、最初の脆弱性の発見は8月19日、Drupalでのコード実行確認は8月20日、WordPressでは8月21日、PHPへの報告は8月24日となっている。同社によれば、これらのモデルを使用した1人の研究者が、一流のチームが数ヶ月かかるであろう作業を1週間で完了したという。財団はさらに、7月1日以降に公開された15のCVEと、無効、重複、または再現不能として却下された100件以上の報告を記録している。
リリースは10月22日を予定していた。10月20日15時（UTC）頃、2つのCVE識別子が誤ったリリース時間と誤ったCVSSスコア10とともにフォーラムやソーシャルメディアで流通し始めた。財団によれば、技術的な詳細は漏洩していない。PHPは事前告知とリリースを10月21日に前倒しした。Chainguardは10月21日7時41分（UTC）に、リリースの6時間以上前に修正を組み込んだイメージを公開し、財団はこれを一方的なエンバーゴ違反と呼んでいる。
隔離し、その後移行せよ、CERT-FRの指示
CERT-FRは、すべての5.x、6.x、7.x、8.0.x、8.1.xバージョン、および修正バージョン以前の8.2から8.5までのブランチが影響を受けるとリストしている。編集者がもはや保守していないブランチについては、機器を隔離した後、保守されているバージョンに移行することを推奨している。PHPの設定やアプリケーションファイアウォールでの一時的な回避策については、CERT-FRは評価していない。Anssiによると、フランスのインターネット上で60万台以上のサーバーがPHPを使用している。内務省は、AFPが伝えた声明によると、公開されたサイトを予防的にメンテナンス状態にした。10月22日8時33分（パリ時間）、CNILのサイトとimpots.gouv.frは、セーヌ-サン-ドニ県庁のサイトと同様にメンテナンスページを表示していた。これらのページのいずれもPHPについて言及していない。
Cloudflareは、顧客を標的とした攻撃トラフィックを観測し、攻撃者がフィルタリングルールを回避するためにリクエストを変更したと述べている。財団によれば、公開時点では機能するエクスプロイトは特定されていなかった。記載の日付において、引用された情報源のいずれも、成功した侵入を報告していない。
保守されているバージョンは開示日に修正プログラムを受け取った。主なリスクは、プロジェクトがもはや更新していないPHP 8.1以前のサーバーにある。PHP 7.4、8.0、8.1については、セキュリティチームは最小限のバックポートを提供しており、ソースからコンパイルするユーザー向けである。PHP Foundationは、PHPに依存する企業、ホスティングプロバイダー、行政機関に対し、エンジンのセキュリティが依然として「財団から資金提供を受けた少数の開発者グループとわずかなボランティアの助け」に依存していると書き、資金提供を求めている。
