10/22に発表されたPHPの脆弱性の件。
スクリプト言語「PHP」の開発チームは10月21日（協定世界時）、「PHP」のセキュリティアップデートを実施した。以下のバージョンが利用可能で、すべての利用者にただちにアップデートするよう強く呼びかけられている。
・v8.5.12
・v8.4.27
・v8.3.36
・v8.2.35今回のアップデートでは、予告通り、認証なしでリモートからコードを実行（RCE）されるおそれのある2件の脆弱性が対処されている。深刻度はいずれも4段階中最高の「Critical」、「CVSS 4.0」の基本値は「9.2」。
・CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：メモリ不足（OOM）の処理によって、内部のリクエストデータが一部しか初期化されていない状態で処理が中断されることがある。その後のリクエストの後始末で、不正なデータが正しいものとして扱われてしまう
・CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：リクエストが所有する内部状態が、その裏付けとなるメモリが解放された後も残ってしまう。同じワーカーが後で処理するリクエストが、通常の初期化でリセットされる前にこの古い状態を使ってしまうおそれがある影響を受けるのは、Webリクエストを処理するすべての「PHP」環境。「PHP-FPM」、「Apache」の「mod_php」、「php-cgi」、「FrankenPHP」、「LiteSpeed」などの構成が挙げられている。
とくに危険性が高いのは「mod_php」で、認証されていないリクエストによって、アプリケーションのコードが実行されるよりも前に攻撃を引き起こせることが実証されているという。Linuxディストリビューションや長期サポート（LTS）を提供するベンダーにはパッチが事前に提供されているので、それぞれの更新パッケージを確認したい。
なお、サポート終了で本来はアップデートの対象外である「PHP 7.4」「PHP 8.0」「PHP 8.1」に関しても、事態の深刻さに鑑み、最小限のソースコードバックポートが用意されている。
https://news.yahoo.co.jp/articles/4d8feacc6edcecda61be971530371493967f5be5
WordPressはphpで動いているし、このブログ大丈夫か？？ということで、レンタルサーバのconohaを確認したところ、対策されていた。
平素よりConoHaをご利用いただき、誠にありがとうございます。
2026年10月22日にお知らせいたしました「PHPの脆弱性への弊社対応について」
につきまして、すべての対応が完了いたしましたのでご報告いたします。■弊社の対応状況（2026年10月22日 20時45分時点）
・サーバーへのセキュリティパッチの適用：完了いたしました。■利用再開をした機能
・Webメール（18:30頃に再開）
・ファイルマネージャー（18:30頃に再開）
・phpMyAdmin■緊急メンテナンスについて
本日12時00分から21時00分まで予定しておりました緊急メンテナンスは、
20時45分に終了いたしました。■ConoHa WINGをご利用のお客様へ
ご利用中のPHPバージョンを維持したまま、提供中のすべてのPHPバージョンに
セキュリティパッチを適用いたしました。
お客様ご自身でPHPバージョンの変更等をしていただく必要はございません。■ご留意事項
今回のセキュリティパッチは、PHPのバージョンを上げるのではなく、
ご利用中のバージョンのまま修正プログラムだけを取り込む方法で適用しております。そのため、WordPressの「サイトヘルス」画面などでPHPのバージョンを確認された際に、
開発元が公開した修正版のバージョン番号（例：8.5.12）ではなく、
これまでと同じバージョン番号（例：8.5.11）が表示される場合がございます。なお、適用後のバージョンは以下のとおりです。
5.6.40 / 7.0.33 / 7.1.33 / 7.2.34 / 7.3.33 / 7.4.33
8.0.30 / 8.1.34 / 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11表示されるバージョン番号にかかわらず、今回の脆弱性に対する修正プログラムは
すべてのPHPバージョンに適用済みです。どうぞご安心ください。
緊急メンテ長いけど、いい動き。GMO系はFXが攻撃許してるしビットがたってたのだろうか。
すぐ対応してもらえるのはうれしい。
GMO「悪用確認されず」から一転 FX口座ログイン情報、流出の可能性 不正操作報告も（J-CASTニュース） – Yahoo!ニュース
