PHPセキュリティチームは、近日中に予定されている重大なセキュリティリリースに関する公式な発表を行いました。このアップデートは、2026年10月21日（水）14:00 UTCに展開される予定です。このリリースは、いずれもCVSS v4.0で9.2のスコアを割り当てられ、「重大」に分類された2つの脆弱性を具体的に修正するものです。チームはすべてのPHPユーザーに対し、直ちにアップデートの準備を整えるよう助言しており、野生下でのアクティブな悪用に関する証拠が現れた場合や、脆弱性のさらなる詳細が公開された場合には、リリースが前倒しされる可能性があると指摘しています。
PHPセキュリティチームは、近日中に予定されている重大なセキュリティリリースに関する公式な発表を行いました。
この発表を巡る技術的な議論では、状況の深刻さが強調されており、一部の観測者はこれらの脆弱性がこの言語の歴史の中で最も重大なものの一つになる可能性があると示唆しています。コミュニティからの報告によると、概念実証（PoC）となるエクスプロイトがすでに流通しており、一部のユーザーはそれらを使用して個人のサイトからデータベースをダンプすることに成功したと主張しています。公式なパッチが出る前であってもこれらのエクスプロイトが急速に出現したため、一部の管理者は、セキュリティアップデートを適用できるまでウェブサイトを完全にオフラインにするという極端な措置をとっています。
サービスをオフラインにできないユーザーのために、コミュニティではいくつかの暫定的な緩和策が議論されています。提案されている方法の一つは、`php.ini`の設定を修正して`session.upload_progress.enabled`を`Off`に設定し、さらに`file_uploads`を`Off`に設定する可能性があるものです。別の技術的なアプローチとしては、ウェブサーバーレベルでマルチパートリクエストをブロックするか、Web Application Firewall（WAF）を使用して`POST`、`PUT`、`PATCH`、および`DELETE`リクエストを拒否することです。これらの措置は、ログインページなどの標準的なフォーム機能を損なう可能性がありますが、公式パッチを待つ間、サイトの存在を維持するための方法として提案されています。しかし、一部のユーザーはこれらの緩和策の有効性について不確実性を表明しており、これらの設定を調整しても特定のシリアル化プロセスが依然として脆弱である可能性があると指摘しています。