CVE-2026-109619：お使いのPHPは影響を受けますか？
Request-owned internal state can survive after its memory is freed, and a later request handled by the same worker may use it before normal initialization, which can lead to remote code execution.
深刻度緊急9.2CVSS v4PHP Group (CNA)
影響を受ける上流のバージョン
| ブランチ | 影響範囲 |
|---|---|
| 8.2 | 8.2.* < 8.2.35 |
| 8.3 | 8.3.* < 8.3.36 |
| 8.4 | 8.4.* < 8.4.27 |
| 8.5 | 8.5.* < 8.5.12 |
開発元（上流）の修正
Linuxパッケージとイメージ
修正バージョンをすべて見る修正済み・影響なし・修正待ち・修正予定の行のみ掲載しています。未確認の行、サポート終了のリリース、サードパーティのリポジトリはphp2shellの一覧表にあります。
Ubuntu
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| 26.10(stonking) | php8.5 | 8.5.9-0ubuntu2.1 | 修正済み | USN-8948-1 | |
| 26.04 LTS(resolute) | php8.5 | 8.5.4-0ubuntu1.5 | 修正済み | USN-8948-1 | |
| 24.04 LTS(noble) | php8.3 | 8.3.6-0ubuntu0.24.04.13 | 修正済み | USN-8948-1 | |
| 22.04 LTS(jammy) | php8.1 | 8.1.2-1ubuntu2.28 | 修正済み | USN-8948-1 | |
| 20.04 LTS(focal)Ubuntu Proが必要 | php7.4 | 7.4.3-4ubuntu2.29+esm5 | 修正済み | USN-8948-2 | |
| 18.04 LTS(bionic)Ubuntu Proが必要 | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | 修正済み | USN-8948-2 | |
| 16.04 LTS(xenial)Ubuntu Pro（Legacy）が必要 | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | 修正済み | USN-8948-2 | |
| 14.04 LTS(trusty)Ubuntu Pro（Legacy）が必要 | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | 修正済み | USN-8948-2 |
Debian
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| 13(trixie) security | php8.4 | 8.4.27-1~deb13u1 | 修正済み | DSA-6574-1 | |
| 12(bookworm) security (LTS team) | php8.2 | 8.2.35-1~deb12u1 | 修正済み | DLA-4848-1 | |
| forky(testing) | php8.4 | 修正バージョンはまだ公表されていません | 修正版は未公開 | 出典 |
Red Hat Enterprise Linux
Rocky Linux
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| Rocky Linux 10 | php8.4 (AppStream) | 8.4.27-1.el10_2 | 修正済み | RLSA-2026:87071 | |
| Rocky Linux 10 | php (AppStream) | 8.3.36-1.el10_2 | 修正済み | RLSA-2026:87070 | |
| Rocky Linux 9 | php:8.3/php | 8.3.36-1.module+el9.8.0+40396+4e680bb7 | 修正済み | RLSA-2026:87079 | |
| Rocky Linux 9 | php:8.2/php | 8.2.35-1.module+el9.8.0+40395+2f706e64 | 修正済み | RLSA-2026:87072 | |
| Rocky Linux 9 | php (AppStream) | 8.0.30-8.el9_8.1 | 修正済み | RLSA-2026:87151 | |
| Rocky Linux 8 | php:7.4/php | 7.4.33-8.module+el8.10.0+40393+c071e357 | 修正済み | RLSA-2026:87080 |
Oracle Linux
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| Oracle Linux 10 | php8.4 | 8.4.27-1.el10_2 | 修正済み | ELSA-2026-87071 | |
| Oracle Linux 10 | php | 8.3.36-1.el10_2 | 修正済み | ELSA-2026-87070 | |
| Oracle Linux 9 | php | 8.0.30-8.el9_8.1 | 修正済み | ELSA-2026-87151 |
Amazon Linux
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| Amazon Linux 2027 Preview | php8.5 | 8.5.12-1.amzn2027.0.1 | 修正済み | ALAS2027-2026-243 | |
| Amazon Linux 2023 | php8.5 | 8.5.12-1.amzn2023.0.1 | 修正済み | ALAS2023-2026-3304 | |
| Amazon Linux 2023 | php8.4 | 8.4.27-1.amzn2023.0.1 | 修正済み | ALAS2023-2026-3303 | |
| Amazon Linux 2023 | php8.3 | 8.3.36-1.amzn2023.0.1 | 修正済み | ALAS2023-2026-3302 | |
| Amazon Linux 2023 | php8.2 | 8.2.35-1.amzn2023.0.1 | 修正済み | ALAS2023-2026-3301 | |
| Amazon Linux 2(amazon-linux-extras php8.2) | php (amazon-linux-extras php8.2) | 8.2.35-1.amzn2.0.1 | 修正済み | ALAS2PHP8.2-2026-015 |
Alpine Linux
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| edge(development) | php85 | 8.5.12-r0 | 修正済み | GHSA-w8hw-w9fx-j79w | |
| edge(development) | php84 | 8.4.27-r0 | 修正済み | GHSA-w8hw-w9fx-j79w | |
| edge(development) | php83 | 8.3.36-r0 | 修正済み | GHSA-w8hw-w9fx-j79w | |
| Alpine 3.24 | php85 | 8.5.12-r0 | 修正済み | GHSA-w8hw-w9fx-j79w | |
| Alpine 3.24 | php84 | 8.4.27-r0 | 修正済み | GHSA-w8hw-w9fx-j79w | |
| Alpine 3.24 | php83 | 8.3.36-r0 | 修正済み | GHSA-w8hw-w9fx-j79w |
Docker公式イメージ
Windowsビルド
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| Windows binaries(windows.php.net) | php-8.5.12-Win32-vs17-x64.zip | 8.5.12 | 修正済み | 出典 | |
| Windows binaries(windows.php.net) | php-8.4.27-Win32-vs17-x64.zip | 8.4.27 | 修正済み | 出典 | |
| Windows binaries(windows.php.net) | php-8.3.36-Win32-vs16-x64.zip | 8.3.36 | 修正済み | 出典 | |
| Windows binaries(windows.php.net) | php-8.2.35-Win32-vs16-x64.zip | 8.2.35 | 修正済み | 出典 |
Homebrew
XAMPP
| リリース | パッケージ | 修正バージョン | 状態 | 確認日 | 出典 |
|---|---|---|---|---|---|
| XAMPP(Apache Friends) download page | XAMPP for Windows/Linux installers: PHP 8.0.30, 8.1.25, 8.2.12 | 修正バージョンはまだ公表されていません | 修正版は未公開 | 出典 |
CISA KEV（悪用が確認された脆弱性のカタログ）
カタログ版2026.10.21の時点（確認）で、KEVカタログには掲載されていません。 KEVカタログ
自分の環境を確認する方法
使っているバージョンを調べます。ソースや開発元のビルドなら上流のリリース番号、ディストリビューションのパッケージならパッケージのバージョンです。
上の表で、ご自身のブランチまたはディストリビューションの行と比べてください。ディストリビューションのパッケージは上流の番号ではなく、そのパッケージ自身のバージョンで判断します。
出力をバージョン確認ツールに貼り付けることもできます。確認はブラウザ内で行い、何も送信しません。
情報源
- CVEレコード · CVE Program
- GitHubのセキュリティアドバイザリ · github.com
- 開発元のリリース・アドバイザリ · PHP Group · 最終確認
PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution.
- 開発元のリリース・アドバイザリ · PHP Group · 最終確認
- 開発元のリリース・アドバイザリ · PHP Group · 最終確認
- 開発元のリリース・アドバイザリ · PHP Group · 最終確認
- KEVカタログ · CISA · 最終確認