PHPに認証不要RCEの2脆弱性、新バージョンで修正
PHPは2026年10月20日(現地時間)、認証不要なリモートコード実行（RCE）の2つの深刻な脆弱性「CVE-2026-109618」と「CVE-2026-109619」を修正したと発表した。これらの脆弱性はCVSS v4スコア9.2と評価され、PHP 8.5.12、8.4.27、8.3.36、8.2.35で対応が施された。リクエストライフサイクルにおけるメモリ安全性バグであり、mod_php環境ではアプリケーションコードが実行される前に細工されたmultipart POSTリクエストによって到達可能となる。PHPは、脆弱性の完全な緩和策はなく、更新が唯一安全な選択肢であるとの見解を示している。