PHPにリモートコード実行の重大脆弱性（CVE-2026-109618、CVE-2026-109619）：今すぐパッチ適用を

【なぜ重要か】 PHP本体にCVSSv4.0スコア9.2の重大なリモートコード実行（RCE）脆弱性が2件発見され、パッチ未適用のすべてのPHPバージョンが影響を受ける。すでに野外での悪用が確認されており、PHPをスタックのどこかで使用している場合は即時対応が必要だ。修正済みバージョンはすでにリリースされている。

【ポイント】

• 脆弱性の概要：CVE-2026-109618とCVE-2026-109619はいずれも、PHPがリクエスト処理中にメモリ不足エラーを扱う際のメモリ安全性の不具合。前者は内部リクエストデータを破損させ、後者は解放済みメモリ上の古いリクエスト状態を後続リクエストから参照可能にする。
• 修正済みバージョン：PHP 8.5.12、8.4.27、8.3.36、8.2.35にアップデートし、PHPプロセスの再起動とコンテナイメージの再ビルドが必要。PHP 8.1以前はPHPプロジェクトによる公式更新が提供されないため、サポート対象バージョンへの移行を推奨。
• Aikido製パッチ済みイメージの提供：PHP 8.2〜8.5向けのパッチ済みDockerイメージをAikidoのパブリックECRで無償提供中。タグを切り替えて再デプロイするだけで適用可能。
• 即時更新できない場合の緩和策：session.upload_progress.enabled = 0 と memory_limit = -1 を両方同時に設定しPHPワーカーを再起動する（片方だけでは不十分）。また不要であればmultipart/form-dataのPOSTリクエストをPHPに到達する前にブロックすることも有効。
• 侵害の確認事項：不審なmultipartリクエスト、メモリ制限エラーや大量のHTTP 500、異常なPHPSESSIDクッキー、PHPワーカーの予期せぬ再起動、Webシェルや不審なファイル、新規管理者アカウント、PHPファイルの改ざん、不審な外部通信などを確認すること。ワーカーメモリが露出した可能性があるため、インターネット公開PHPシステムのパスワード・APIキー・トークンのローテーションも検討すること。

【まとめ】 PHPを利用するすべてのシステムが影響を受ける最高レベルの脆弱性であり、悪用もすでに始まっている。直ちにPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12へアップデートするか、Aikidoが提供するパッチ済みコンテナイメージに切り替えることが最優先の対応となる。