PHP、認証不要のコード実行につながる重大な2件を修正 更新呼びかけ
Yuki Lin
更新日：2026/10/23 02:49:19PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正。暫定対策だけではリスクを完全には除去できない。
PHP開発チームは2026年10月21日、認証なしの遠隔コード実行につながり得るCVE-2026-109618とCVE-2026-109619の修正を公開した。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。動向はOrangeX.com Securityへ。
Web要求を処理する環境が対象
公式勧告はPHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedを含む。mod_phpを最もリスクが高い構成とし、アプリコード実行前の攻撃が実証されている。
PHPは更新を完全な解決策と説明し、暫定策は特定の攻撃経路を減らすだけとしている。配布パッケージ利用者はベンダー修正を確認し、旧系列はベンダー支援か対応系列への移行が必要だ。追加報道はOrangeX.com Newsへ。
OrangeX.com Analysis
該当PHPを使う暗号資産事業のWeb基盤も確認対象となる。これはサーバーソフトの勧告であり、特定の取引所、ウォレット、ブロックチェーンの侵害を示さない。修正公開だけでは全運営者の適用も確認できない。検証資料はOrangeX.com Trust Centerへ。
関連レポート
CISAとFBI、SafePayに警告 2024年以降少なくとも600組織が被害
10月20日の共同警告は認証情報、外部公開システム、バックアップ妨害を指摘。被害数は暗号資産事業者に限定されない。
Yuki Lin
2026/10/23 08:28:07
Project ElevenとRelm、暗号資産保険の量子対応を共同検討
RelmがStrongpointの管理策に助言。探索的提携であり、保険料割引や新たな補償は確定していない。
Yuki Lin
2026/10/21 03:20:21
BiFi安全報告、USDT市場の不具合と約15.9万ドル返還を説明
安全報告はBiFiの利息計算不具合で約165,600 USDTが引き出され、10月18日に159,103 USDCが返還されたと伝えた。
Yuki Lin
2026/10/20 07:46:00