PHPにリモートコード実行の欠陥、修正版が公開
Summary
PHP 8.2から8.5の一部の版に、外部からのリクエストを通じて任意のコードを実行されるおそれのある脆弱性(CVE-2026-109619)が見つかり、修正版が公開されました。認証なしでネットワーク越しに狙える種類ですが、悪用には条件があり、実際の攻撃での悪用確認は現時点で公表されていません。PHP を動かしているサーバーやコンテナの版を確認し、修正版(8.2.35、8.3.36、8.4.27、8.5.12)へ早めに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
PHP 8.2から8.5の一部の版に、外部からのリクエストを通じて任意のコードを実行されるおそれのある脆弱性(CVE-2026-109619)が見つかり、修正版が公開されました。認証なしでネットワーク越しに狙える種類ですが、悪用には条件があり、実際の攻撃での悪用確認は現時点で公表されていません。PHP を動かしているサーバーやコンテナの版を確認し、修正版(8.2.35、8.3.36、8.4.27、8.5.12)へ早めに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| PHP GroupPHP |
≥ 8.2.0, < 8.2.35→ 8.2.35 ≥ 8.3.0, < 8.3.36→ 8.3.36 ≥ 8.4.0, < 8.4.27→ 8.4.27 ≥ 8.5.0, < 8.5.12→ 8.5.12 |
8.2.35 8.3.36 8.4.27 8.5.12 |
| Bitnamilibphp |
≥ 5.4.0, < 8.2.35→ 8.2.35 ≥ 8.3.0, < 8.3.36→ 8.3.36 ≥ 8.4.0, < 8.4.27→ 8.4.27 ≥ 8.5.0, < 8.5.12→ 8.5.12 |
8.2.35 8.3.36 8.4.27 8.5.12 |
| Bitnamiphp-min |
≥ 5.4.0, < 8.2.35→ 8.2.35 ≥ 8.3.0, < 8.3.36→ 8.3.36 ≥ 8.4.0, < 8.4.27→ 8.4.27 ≥ 8.5.0, < 8.5.12→ 8.5.12 |
8.2.35 8.3.36 8.4.27 8.5.12 |
| Bitnamiphp |
≥ 5.4.0, < 8.2.35→ 8.2.35 ≥ 8.3.0, < 8.3.36→ 8.3.36 ≥ 8.4.0, < 8.4.27→ 8.4.27 ≥ 8.5.0, < 8.5.12→ 8.5.12 |
8.2.35 8.3.36 8.4.27 8.5.12 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Alpine Linux ALPINE-CVE-2026-109619 php85, php84, php83 +1 more Fix available
- BellSoft Alpaquita BELL-CVE-2026-109619 php83, php81 Fix available
- Debian DEBIAN-CVE-2026-109619 php8.4, php8.2 Fix available
- Ubuntu UBUNTU-CVE-2026-109619 php8.5, php8.3, php8.1 +4 more Fix available
Original description The description as published by the source.
PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
Source: NIST National Vulnerability Database NVD GitHub Advisory CISA KEV
References
- advisory github.com
- advisory wiz.io
- advisory nvd.nist.gov
- advisory php2shell.delftintellab.com
- advisory arcticwolf.com
- advisory github.com
- REDHAT Red Hat
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web openwall.com
- web cert-portal.siemens.com
- web openwall.com
- web cisa.gov
- web cert-portal.siemens.com
- web cert-portal.siemens.com