PHPプロジェクトは2026年10月21日(現地時間)、リモートコード実行の脆弱性に対処する緊急セキュリティ更新版を公開した。調整された情報開示プロセスにおける漏洩により、前夜からエクスプロイトが確認されていた。PHP 8.x系の全バージョンにわたるアップデートが提供されており、ユーザーには速やかなアップグレードが推奨されている。
PHPプロジェクトによると、2026年10月20日15:00 UTC頃から、2件のCVE IDがオンラインフォーラムやソーシャルメディア上で流出し始めた。これには誤った公開時刻と、本来9.2であるはずのCVSSスコアが10.0と記されていたが、技術的な詳細は含まれていなかった。これを受け、PHPプロジェクトは予定していた事前発表を繰り上げ、同日19:30 UTCに公開。また、当初10月22日14:00 UTCに予定されていたリリースを10月21日14:00 UTCに前倒しした。
情報漏洩と事前発表に伴い、20:00 UTC頃には脆弱性を報告したセキュリティ企業の一つであるカリフ (Calif) が、誤って概念実証（PoC）ビデオを公開した。このビデオには、複数のターゲットに対してPoCが動作する様子が示され、脆弱性に関する一部の追加情報も含まれていた。削除されたビデオのコピーはその後すぐにソーシャルメディアで拡散し、様々なエクスプロイトPoCの開発を加速させ、2026年10月21日にはさらに広範に流通することになった。
ウィズ・リサーチ (Wiz Research) が発見した元々の脆弱性に関する詳細なタイムラインによると、最初のPHP脆弱性は2026年8月19日にウィズ・アトラス (Wiz Atlas)、Gemini 4 Argon、GPT-5.6 Solを使用して発見された。8月20日にはDrupalに対する認証不要のリモートコード実行が、翌21日にはWordPressに対する同様の脆弱性が確認された。ウィズ・リサーチは8月24日にPHPセキュリティチームに脆弱性を報告し、PHP側は9月21日に報告を認識し、調整された修正作業を開始。そして2026年10月21日に、パッチが適用されたPHPリリースが提供され、同時に情報が公開された。
参考: Simon Willison’s Weblog (アーカイブ) — 2026年10月22日 03:41 (JST)
原文ハイライト"address two remote code execution holes, and there have been exploits circulating"