Core PHP で発見された重大な RCE 脆弱性：CVE-2026-109618 および CVE-2026-109619

CVE-2026-109618 および CVE-2026-109619：把握しておくべきポイント

• それらは何でしょうか？Core PHP で発見された2つの重大な脆弱性 (CVSS v4.0 スコア 9.2) である、CVE-2026-109618 および CVE-2026-109619 です。

• どのような影響があるのでしょうか？パッチを適用しないまま放置すると、これらの脆弱性により、Core PHP (バージョン 5~8 のすべて) がリモートコード実行 (RCE) のリスクにさらされます。

• どのような対応が必要ですか？PHP Foundation は PHP 8.2 以降 (具体的にはバージョン 8.5.12、8.4.27、8.3.36、8.2.35) で、CVE-2026-109618 と CVE-2026-109619 のパッチを適用しました。一部のディストリビューションや LTS ベンダーは、バックポートされた修正を提供しています。詳細についてはベンダーにお問い合わせいただくか、サポート対象のバージョンにアップグレードしてください。PHP セキュリティチームは、ソースからビルドする人や LTS ベンダーを利用できない人を支援するため、PHP 7.4、PHP 8.0、PHP 8.1 向けに最小限のソースバックポートを提供しました。その間、Fastly のお客様は WAF ルールを有効にして、一時的な保護を受けることができます。

CVE-2026-109618 と CVE-2026-109619 とは？ 

2026年10月21日、PHP プログラミング言語の基盤となる形態である Core PHP で発見された重大な脆弱性に対処するため、2つの CVE (CVE-2026-109618 + CVE-2026-109619) がリリースされました。どちらの CVE も CVSS v4.0 スコアが 9.2 であり、これは迅速な対応と緩和が求められる重大な脆弱性であることを意味します。

CVE の詳細

CVE-2026-109618 - OOM に起因する RCE PHP
アウトオブメモリ (OOM) エラーが発生すると、longjmp() を使用して現在のコンテキストを終了し、リクエストの処理を中止します。一部のコンテキストでは、このシナリオが適切に考慮されず、リクエストメモリが未初期化の状態のまま残ることがあります。後続のリクエストのクリーンアップ処理が、このメモリを読み取ったり、このメモリに基づいて分岐したりする可能性があります。 複数の OOM 戦略によってこの状態が繰り返し引き起こされ、リモートコード実行 (RCE) につながる可能性があります。

CVE-2026-109619 - 致命的エラーを介した RCE
PHP は、致命的なエラーが発生した場合、longjmp() を使用して現在のコンテキストを終了し、リクエストの処理を中止します。一部のコンテキストでは、このシナリオが適切に処理されず、グローバルメモリが不正な状態となり、リクエスト終了時に解放されるメモリ領域を指したままになることがあります。後続のリクエストは、このメモリを読み取ったり、その内容に基づいて分岐したりする可能性があります。これにより、複数の攻撃手法が引き起こされる可能性があります。

CVE-2026-109618 + CVE-2026-109619 の影響とは？ 

これら2つの脆弱性にパッチを適用しないと、Core PHP はリモートコード実行 (RCE) の危険にさらされます。お客様、および本投稿をご覧の皆様には、パッチが利用可能になり次第、直ちに脆弱なバージョンにパッチを適用されることを強くお勧めします。

Fastly の対応

当社の Next-Gen WAF チームは、お客様が有効にできる一連のルールを作成しました。仮想パッチを利用するには、WAF ダッシュボードでルールを直接有効にする必要があります。NG-WAF で保護されているアプリケーションのリスクを緩和するため、Fastly のお客様は CVE-2026-109618 & CVE-2026-109619 の両方を対象とするシグナルを有効にすることができます。この CVE 固有のテンプレート化されたルール内の検知内容は、これらの一連の悪用試行における構造的な特徴 (正規のトラフィックとは異なる構造を持つ本文やパラメータなど) を探し、php2shell CVE に対する潜在的な悪用試行の可能性を検知します。

これは、公式パッチが適用されるまでの間の保護対策として役立ちます。

Fastly のソリューションが役立つ理由

当社は、お客様がビジネスクリティカルなサービスのレジリエンスを当社に託していることを承知しています。当社の使命の中核は、CVE-2026-109618 や CVE-2026-109619 のような予期せぬ事態が発生した際にお客様をサポートすることです。脆弱性を取り巻く状況が変化する中、長年にわたり Fastly プラットフォームをご利用のお客様も、新規のお客様で直ちに保護を必要としている場合でも、当社のチームが皆様をサポートいたします。さらにサポートが必要な場合は、お気軽にお問い合わせください。