PHPに未認証でコード実行可能な脆弱性、発見から修正まで数カ月かかった構造的失敗をPHP Foundationが認める

PHP Foundation's Overview of CVE-2026-109618 and CVE-2026-109619

PHP 8.5.12などが修正した2件の脆弱性は、メモリ管理とエラー処理というほぼ全リクエストが通る箇所に潜み、未認証の攻撃者がコードを実行できた。2024年に兆候は掴んでいたものの、互換性や性能とのトレードオフで合意形成が難航し修正は停滞。Calif、OpenAI、Wizの報告で影響が明らかになり、8月から最優先で対応した。PHP Foundationは遅延を「構造的失敗」と認め、資金と人材の不足を訴える。