PHPがCVSS 9.2の脆弱性2件を修正へ、緊急セキュリティリリースを予告
Upcoming Critical PHP Security Release
PHPセキュリティチームが、2026年10月21日14:00 UTCに予定されるセキュリティリリースの事前告知を出した。修正対象はCVSS v4.0で9.2と評価された2件の重大な脆弱性で、全PHPユーザーに事前準備と公開後の即時アップグレードを呼びかけている。詳細が公開された場合や実際の悪用が確認された場合は、前倒しでリリースする可能性があるとしている。影響バージョンや修正版はリリース時に公表される。
詳細がいずれかの脆弱性について公開された場合、あるいは実際の悪用の証拠が現れた場合には、より早くリリースする権利を留保します。
HNでの議論
17- devttyeu
@dang 周りで流れている憶測が本当なら、これは終末級の話で、手遅れになる前に然るべき人たちが見るようにもっと広める価値がある。
CERT-EUは、迅速にパッチを当てられない可能性のある露出したシステムを隔離するようさえ示唆している。
憶測では、影響を受けるサブシステムはアプリケーションコードより前に実行され、すべてのデフォルトインストールに影響するという。
- Numerlor
まあ、これ以上ないくらい最悪の事態だから、インターネットがちょっとしたテストになって、古いフォーラムがボットネットに変わるんだろうな。
- unethical_ban
他のHNスレッドで噂されている緩和策：
>影響を受けるバージョンの緩和策は、php.iniで`session.upload_progress.enabled = Off`を設定することです
私のwikiでは使っていない機能なので、すぐにパッチを当てるとしても、このビットを反転させても害はなかった。実際、今日はサーバーを止めておいてもいいくらいだ…
edit: 今日はdokuwikiを単にシャットダウンした。どうせ私以外誰も使っていない。
edit2: https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_criti...
PHPのrelengだと自称する人が、INI設定では救われないと言っている。