2026年10月21日、PHP 8.3.36が公開された1。
今回のリリースは、認証前のリモートコード実行(RCE)につながり得る、以下のCritical(i.e. CVSS 4.0: 9.2)な脆弱性2件への修正を含む:
- CVE-2026-109618: メモリ不足(OOM)発生時の異常処理によってリクエスト状態が破損する問題。細工されたHTTPリクエストで誘発でき、アプリケーションの認証処理以前に到達し得る。
- CVE-2026-109619: PHPのワーカープロセスが複数のリクエストを処理する際、解放済みメモリへのアクセス(Use-after-free)が発生する問題。
いずれもApatch等のモジュール版やPHP-FPMにも影響する。特に後者は、ワーカーを長時間再利用するサーバー構成で問題となる。ただし、前者についてPHP-FPMでの完全な攻撃実証は確認されていない。
PHPとWordPressは切っても切れない関係なのでそれについても触れると、WordPress自体を更新するだけではPHP本体の脆弱性は修正されない。
また最近のPHP 8.3セキュリティ更新内容は以下のようである:
| バージョン | 公開日 | 主な内容 |
|---|---|---|
| 8.3.33 | 2026/7/30 | 更新前の稼働バージョン |
| 8.3.35 | 2026/9/24 | SOAP、OpenSSL、HTTPストリーム等の脆弱性12件を修正 |
| 8.3.36 | 2026/10/21 | CriticalのRCE関連脆弱性2件を修正 |
※尚、8.3.34はリリースされていない。