何が起きたか
2026-10-21にPHPプロジェクトは2つの重大な認証されていないRCE欠陥（CVE-2026-109618：OOM時の早期終了メモリ破壊; CVE-2026-109619：古いクロスリクエストグローバル状態 → use-after-free）を公開しました。CISAは2026-10-26に両方をKEVに追加し、悪用が確認されました。Cloudflareは数百万の悪用試行を報告し、AWSはパッチの数日前にプロービングが始まったと述べました。2026-10-22までにMiraiボットネットオペレーターがASLRバイパスエクスプロイトが登場する中で攻撃に加わりました。
なぜ重要か
PHPは、AI/MLサービスをラップするウェブフロントエンドと管理サーフェスの大部分をホストしています — モデルマーケットプレイスUI、MLflow/ベクトルDBダッシュボード、AIプラグインエコシステム。破壊はアプリケーション認証前のリクエストシャットダウン時に発生するため、アプリレベルの制御ではブロックできません。ウェブ層でのRCEは、AIワークロードに供給されるデータプレーンにピボットできます。
攻撃経路
認証されていない細工されたHTTPリクエスト（有効なContent-Lengthを欠くmultipart、無制限のパートごとのヘッダー）が、アプリケーションコード実行前にリクエストシャットダウンのメモリ破壊/クロスリクエストuse-after-freeを引き起こします。DoS、メモリ開示、またはリモートコード実行につながります。実環境での悪用が確認され、2026-10-26にCISA KEVに追加されました。
影響を受けるシステム
PHP 8.2 <8.2.35, 8.3 <8.3.36, 8.4 <8.4.27, 8.5 <8.5.12 (CVE-2026-109618 メモリ破壊RCEおよびCVE-2026-109619 古いリクエスト状態UAF RCE); EOLブランチでは修正なし
緩和策
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12にパッチを適用してください。即座にアップグレードできない場合：memory_limit=-1、リクエストボディサイズ/multipartパート/ヘッダーを制限し、PHP 8.5でsession.upload_progressを無効にしてください。コンテナイメージをパッチ済みPHP-FPMで再ビルド/ロールしてください。