セキュリティ研究者がPHPにおいて、特にsession.upload_progressメカニズムに関連するHeap Use-After-Free（UAF）の脆弱性を特定しました。CVE-2026-109618およびCVE-2026-109619として識別されたこの欠陥は、マルチパートフォームデータの処理中に発生します。Use-After-Freeのシナリオでは、システムはメモリが解放された後もそのメモリアドレスへの参照を継続します。この特定のケースでは、そのメモリの「使用」によって攻撃者が任意のコードを実行できる可能性があります。
この脆弱性を巡る技術的な議論では、問題がPHPのファイルアップロード時におけるメモリ管理に深く根ざしていることが強調されています。Hacker Newsのあるコメントでは、この脆弱性が任意のコード実行を直接可能にするため、深刻であると指摘されています。さらに、緩和策に関する重要な区別も議論されました。多くのユーザーはsession.upload_progress.enabledなどの特定のPHP構成オプションを無効にすることで保護されると想定するかもしれませんが、一部の分析では、基礎となるマルチパートUAFの脆弱性は、それらの特定の設定に関わらず依然として悪用される可能性があることが示唆されています。
この脆弱性はマルチパート/form-dataのコアな処理に関連しているため、管理者はより広範なシステムレベルの保護に注目しています。コメントでは、SELinuxやAppArmorのようなセキュリティモジュールが、PHP固有の構成変更よりも効果的な一時的な対策として機能する可能性が示唆されました。加えて、Debianなどの主要なディストリビューションリポジトリにおけるパッチ適用のタイムラインについては依然として不透明な部分があり、それが本番環境をいかに迅速にエクスプロイトから保護できるかに影響を与えています。このレポートの複雑さと基礎となるメモリ管理の問題は、長年使用されているプログラミング言語を高度なメモリ破損の欠陥から保護することの継続的な課題を浮き彫りにしています。