PHPの修正版が公開されました🔧 公式は「アップデートが唯一の安全な方法」と呼びかけています。予告の23時より少し早く、22時台にXで報告が出始めました。
PHP公式の発表によると、直るのは次の4つのバージョンです。PHP 8.5.12／8.4.27／8.3.36／8.2.35。直した脆弱性は2件で、どちらも「認証なしで外部から任意のコードを実行されるおそれ」（リモートコード実行）があるものです。
1件目はCVE-2026-109618で、メモリが足りなくなったときの処理がリクエストの途中で割り込まれ、データが中途半端な状態になる問題です。2件目はCVE-2026-109619で、使い終わったはずの情報が残り、同じ作業用プロセスの次のリクエストで使われてしまう問題です。公式は「完全な回避策はなく、更新が唯一の安全な方法」としています。
23時に出ると言われてたPHPの脆弱性の修正版が出た！！
— じゃむまる (@jammaru_lab) 2026年10月21日
8.5.12／8.4.27／8.3.36／8.2.35 にアップデートすれば直る。サポートが切れてる7.4〜8.1向けにも最小限の修正が出てる。
◆今回のポイント
◆どのバージョンに更新する？
PHP 8.5は8.5.12、8.4は8.4.27、8.3は8.3.36、8.2は8.2.35です
◆古いPHPは？
8.1以前は公式のサポートが終わっています。公式は7.4・8.0・8.1向けの最小限の修正（ソースコードの形）も公開していて、一部のOS提供元やサポート事業者は修正を取り込んだ版を出しています
◆今すぐ更新できないときは？
公式は一時しのぎとして、php.iniで「session.upload_progress.enabled = 0」「post_max_size = 8M（ファイルを受け付けるなら32M）」「memory_limit = -1」を設定する方法を挙げています。設定後は作業用プロセスの再起動が必要で、ini_set()や.user.iniでは効きません。ただし公式は、これで安全になるわけではないとしています
◆サービスのメンテは？
ウマ娘、グラブル、シャドバWBなどは23時ごろからメンテナンスを告知しています。終了時刻は各公式の告知で確認してください
◆自分のサイトは？
レンタルサーバーやWordPressを使っている人は、利用中のサーバー会社のお知らせで更新の案内を確認しましょう
管理人青瀬すいサイトを持っている人は、サーバー会社の案内をのぞいてみてくださいね。
ネット上の反応
23時に出ると言われてたPHPの脆弱性の修正版が出た！！
きたか
【速報】PHPセキュリティパッチ来た！
もうでてるくない？
PHP緊急パッチきた！！
PHP 8.5.12 か
X上の個人の投稿（10月21日22時台）を紹介しています（一部抜粋）。
管理人のひとこと
修正版が出ても、更新しないと直りません。各サービスのメンテが明けたら、続報もお伝えしますね。
📝 WordPressを使っている人に PR
コメント