PHP Foundationは最近、2つの重大なリモートコード実行（RCE）の脆弱性に対処するため、PHPバージョン8.5.12、8.4.27、8.3.36、および8.2.35のセキュリティアップデートをリリースしました。CVE-2026-109618およびCVE-2026-109619として特定されたこれらの欠陥は、特定の条件下で認証されていない攻撃者がサーバー上でコードを実行することを可能にするものでした。最初の脆弱性はメモリ不足（OOM）による破損に関連しており、PHPがメモリ制限に達した際に部分的に初期化された内部データを残し、メモリ破損を引き起こす可能性がありました。2番目の脆弱性は「use-after-free」エラーに関連しており、致命的なエラーによって内部状態が以前のリクエストのメモリを指したままになり、後続のリクエストが解放済みのメモリにアクセスできる状態になるものでした。どちらの問題も、ほぼすべてのリクエストが触れるメモリ管理やエラー処理といったコアコンポーネントに存在していたため、特に深刻なものでした。
PHP Foundationは、これらの問題の修正が遅れたことは、リソースの不足と合意形成ベースの意思決定プロセスによって引き起こされた「構造的な失敗」であったことを認めました。2024年、プロジェクトにとって数年ぶりの外部セキュリティ監査の際、チームはOOMの問題を特定しましたが、利用可能なすべての選択肢に、後方互換性の破壊、新たなサービス拒否（DoS）リスクの導入、あるいはサードパーティ拡張への大規模な変更といった重大なトレードオフが含まれていたため、修正方法の選択に苦慮しました。これらのシステム的な問題に対処するため、Foundationはセキュリティ運用を再編し、Ecosystem Security Teamを設立して、トリアージとハードニングを担当する専任スタッフを雇用しました。また、AnthropicやOpenAIなどのプロバイダーからのAI支援リサーチツールを統合し、報告の検証や、同じ根本原因を共有する脆弱性のグループ化を支援するようにしました。
PHP Foundationは、システム的な脆弱性に対処し、対応時間を改善するためにセキュリティ運用を再編しています。
これらの内部的な改善にもかかわらず、調整された開示情報の漏洩により、リリースプロセスは重大な外部的困難に直面しました。予定されたリリースの2日前に、誤ったCVSSスコアを伴うCVE IDがソーシャルメディア上で流通し始めたのです。この漏洩により、時期尚早な公表が行われ、ユーザーが可能な限り迅速にアップデートできるように、リリース日が1日前倒しされました。さらに、Foundationは一部の団体が開示のエンバーゴ（公開禁止）を早期に破ったことを指摘しました。例えば、あるセキュリティ企業が誤って概念実証（PoC）ビデオを公開し、あるディストリビューターは公式リリース前に修正を含むビルドイメージを公開しました。これらの事案は、攻撃者がディストリビューターに提供され次第バイナリ修正を調査できるような、リスクの高い環境において、調整された開示を管理することの難しさを浮き彫りにしました。