プログラミング

PHP 8.5.12, 8.4.27, 8.3.36 および 8.2.35 がリリースされました

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 out (php.net)

257 pointsby timvdalen2026年10月21日98 コメント

要約

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 の各バージョンがリリースされ、認証なしでリモートコード実行を可能にする2つの重大な脆弱性（CVE-2026-109618, CVE-2026-109619）が修正されました。PHP 8.5.12 のリリースでは、PHP 8.2が2026年12月31日にサポート終了となること、およびPHP 8.1以前のバージョンはサポートされないことが強調されています。

全文翻訳

2026年10月21日

セキュリティアドバイザリ：重大なリモートコード実行の脆弱性、今すぐアップデートを

PHP 8.5.12, 8.4.27, 8.3.36 および 8.2.35 は、認証なしでリモートコード実行を可能にする2つの重大な脆弱性を修正します。すべてのPHPユーザーは、直ちにアップデートすることを強く推奨します。

リスクのあるユーザー： PHP-FPM、mod_php を使用した Apache、php-cgi、FrankenPHP、LiteSpeed を含む、Webリクエストを処理するすべてのPHPインストール。mod_php が最もリスクが高いと考えられます。認証されていないリクエストが、アプリケーションコードが実行される前に攻撃をトリガーできることが実証されています。

脆弱性：

OOM破損によるRCE、CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)：メモリ不足の処理が、内部リクエストデータが部分的にしか初期化されていない状態でPHPを中断させることがあります。その後、リクエストのクリーンアップ処理が、無効なデータを有効なものとして扱う可能性があります。
古いグローバル状態によるRCE、CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)：リクエスト所有の内部状態が、そのバックメモリが解放された後も残存することがあります。同じワーカーで処理される後続のリクエストが、通常の初期化でリセットされる前に、その古い状態を使用する可能性があります。

アップデート方法：

PHP 8.5.12, 8.4.27, 8.3.36 または 8.2.35 にアップデートしてください。ソースダウンロードはダウンロードページにあります。Windowsのソースとバイナリも同じページにあります。
LinuxディストリビューションおよびLTSベンダーは事前にパッチを受け取っているため、アップデートされたパッケージについてはベンダーにご確認ください。
PHP 8.1以前はPHPプロジェクトからのアップデートを受け取らなくなりました。一部のディストリビューションやLTSベンダーはバックポートされた修正を提供しているため、詳細はベンダーにお問い合わせいただくか、サポートされているバージョンにアップグレードしてください。
これらの脆弱性の深刻さを考慮し、PHPセキュリティチームはソースからビルドするユーザーやLTSベンダーにアクセスできないユーザーを支援するため、PHP 7.4、PHP 8.0、およびPHP 8.1に対して最小限のソースバックポートを提供しました。

すぐにアップデートできない場合： アップデートのみが完全な解決策ですが、以下の対策は特定の攻撃経路への露出を減らしますが、インストールを安全にするものではありません。

OOM破損によるRCE (CVE-2026-109618)：

memory_limit=-1 を設定してください。これは、php_admin_value をFPMプールまたはApache設定で使用するなど、アプリケーションが上書きできない方法で行うのが望ましいです。また、プール、ディレクトリ、またはアプリケーションの設定で有限の制限が再度設定されていないことを確認してください。これにより、制御可能なPHPメモリ制限の失敗はなくなりますが、根本的な割り当て失敗が脆弱なパスに到達する可能性は依然としてあります。
低い post_max_size を設定してください。ファイルアップロードを必要としないアプリケーションの場合は、post_max_size = 8M に設定してください。ファイルアップロードが必要な場合は、post_max_size = 32M に設定してください。upload_max_filesize を post_max_size より低く保ってください。デコードされたリクエストサイズ、入力フィールド数、マルチパートパート数、ヘッダー数、およびネスト深度に対して、Webサーバーまたはプロキシレベルで制限を強制することを検討してください。これらの制限は、有効な Content-Length がないリクエストもカバーする必要があります。
コンテナまたはcgroup制限を可用性の境界として使用してください。可能であれば、影響を受けるワーカーのみをキルするポリシーを使用してください。RLIMIT_AS または RLIMIT_DATA を代用しないでください。これらは脆弱な割り当て失敗を引き起こす可能性があります。

古いグローバル状態によるRCE (CVE-2026-109619)：

session.upload_progress.enabled=0 を設定し、すべてのワーカーを再起動してください。リクエスト解析の前に適用される php.ini、FPMプール、またはサーバー設定を使用してください。ini_set() または FPM .user.ini には依存しないでください。これにより、確認されたセッションパスはブロックされますが、他のバリアントはブロックされません。
PHP 8.5では、fatal_error_backtraces=0 を設定し、すべてのワーカーを再起動してください。これにより、確認された致命的なバックトレースパスのみがブロックされます。
初期化前に診断を出力する、リクエストごとに適用される無効または非推奨の設定を削除してください。error_reporting、display_errors、または @ で診断を非表示にしても役立ちません。
コールバック、アップロードまたはインポート処理、およびクリーンアップでの失敗を含む、攻撃者が到達可能な致命的なエラーと実行タイムアウトを修正してください。

上記のリンク先の詳細アドバイザリには、完全な技術情報が含まれています。

2026年10月21日

PHP 8.5.12 リリース！

PHP開発チームは、PHP 8.5.12の即時利用可能を発表します。これは、認証なしでリモートコード実行を可能にする2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正するセキュリティリリースです。すべてのPHP 8.5ユーザーは、直ちにアップデートすることを強く推奨します。

完全な緩和策はなく、アップデートが唯一安全な選択肢です。詳細はセキュリティアドバイザリを参照してください。

PHP 8.5.12のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年10月21日

PHP 8.4.27 リリース！

PHP開発チームは、PHP 8.4.27の即時利用可能を発表します。これは、認証なしでリモートコード実行を可能にする2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正するセキュリティリリースです。すべてのPHP 8.4ユーザーは、直ちにアップデートすることを強く推奨します。

完全な緩和策はなく、アップデートが唯一安全な選択肢です。詳細はセキュリティアドバイザリを参照してください。

PHP 8.4.27のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年10月21日

PHP 8.3.36 リリース！

PHP開発チームは、PHP 8.3.36の即時利用可能を発表します。これは、認証なしでリモートコード実行を可能にする2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正するセキュリティリリースです。すべてのPHP 8.3ユーザーは、直ちにアップデートすることを強く推奨します。

完全な緩和策はなく、アップデートが唯一安全な選択肢です。詳細はセキュリティアドバイザリを参照してください。

PHP 8.3.36のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年10月21日

PHP 8.2.35 リリース！

PHP開発チームは、PHP 8.2.35の即時利用可能を発表します。これは、認証なしでリモートコード実行を可能にする2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正するセキュリティリリースです。すべてのPHP 8.2ユーザーは、直ちにアップデートすることを強く推奨します。

完全な緩和策はなく、アップデートが唯一安全な選択肢です。詳細はセキュリティアドバイザリを参照してください。

PHP 8.2は2026年12月31日にサポート終了となり、それ以降はセキュリティ修正は提供されません。サポートされているバージョンへのアップグレードを計画してください。

PHP 8.2.35のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年10月20日

今後の重大PHPセキュリティリリース

PHPセキュリティチームは、今後のセキュリティリリースについて事前にお知らせいたします。

リリースは2026年10月21日水曜日14:00 UTCを予定しています。

これは、CVSS v4.0で9.2と評価された2つの重大な脆弱性に対処するものです。

すべてのPHPユーザーは、リリースが利用可能になり次第アップグレードできるよう、今から準備を進めることをお勧めします。

脆弱性の詳細が公開された場合、または悪用されている証拠が発見された場合は、早期リリースを行う権利を留保します。

完全な詳細、影響を受けるバージョン、および修正されたバージョンは、リリース時に公開されます。

PHPのセキュリティ維持にご協力いただきありがとうございます。

2026年10月8日

PHP 8.6.0 RC3 テスト版公開

PHPチームは、PHP 8.6.0の最初のリリース候補であるRC3の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 RC3のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHub Issuesに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

新機能やその他の変更に関する詳細は、NEWSファイル、またはアップグレードに関する完全なリストについてはUPGRADINGファイルをお読みください。これらのファイルはリリースアーカイブにも含まれています。

次のリリースはRC4で、2026年10月22日に予定されています。

リリース署名はマニフェストまたはプレリリースビルドページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年9月24日

PHP 8.4.26 リリース！

PHP開発チームは、PHP 8.4.26の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.4ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.4.26のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年9月24日

PHP 8.2.34 リリース！

PHP開発チームは、PHP 8.2.34の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.2ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.2.34のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年9月24日

PHP 8.5.11 リリース！

PHP開発チームは、PHP 8.5.11の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.5ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.5.11のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年9月24日

PHP 8.3.35 リリース！

PHP開発チームは、PHP 8.3.35の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.3ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.3.35のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年9月24日

PHP 8.6.0 RC2 テスト版公開

PHPチームは、PHP 8.6.0の最初のリリース候補であるRC2の公開を発表できることを嬉しく思います。これはタイプミスではありません。RC1のパッケージング中に間違いがあったため、RC2がリリースされました。詳細については、このブログ記事をご覧ください。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 RC2のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHub Issuesに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはRC3で、2026年10月8日に予定されています。

リリース署名はマニフェストまたはプレリリースビルドページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年9月10日

PHP 8.6.0 Beta 3 テスト版公開

PHPチームは、PHP 8.6.0の3回目のベータリリースであるBeta 3の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 Beta 3のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHubに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはRC 1で、2026年9月24日に予定されています。

リリース署名はマニフェストまたはリリース候補ページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年8月27日

PHP 8.5.10 リリース！

PHP開発チームは、PHP 8.5.10の即時利用可能を発表します。これはバグ修正リリースです。

すべてのPHP 8.5ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.5.10のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年8月27日

PHP 8.4.25 リリース！

PHP開発チームは、PHP 8.4.25の即時利用可能を発表します。これはバグ修正リリースです。

すべてのPHP 8.4ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.4.25のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年8月27日

PHP 8.6.0 Beta 2 テスト版公開

PHPチームは、PHP 8.6.0の新しいベータリリースであるBeta 2の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 Beta 2のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHubに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはBeta 3で、2026年9月10日に予定されています。

リリース署名はマニフェストまたはリリース候補ページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年8月25日

State of PHP調査：最後の呼びかけ

State of PHP調査はまだ開いていますが、残り時間は長くありません。PHPがどのように機能しているか、何を作成しているか、何が困難か、そしてPHPが次に何を重視すべきかについて尋ねています。所要時間は約15分です。

この調査は、JetBrainsによるPhpStormと提携してThe PHP Foundationが実施しています。

集計結果は、State of PHP 2026レポートとして今年後半に公開されます。匿名化された生データセットも一緒に公開されるため、コミュニティの誰もが数値を検証したり、独自の分析を実行したりできます。

回答数が多いほど、PHPユーザーにとって何が重要かの全体像が把握しやすくなります。まだ回答していない場合は、ぜひ回答し、同僚やユーザーグループと共有してください。

2026年8月13日

PHP 8.6.0 Beta 1 テスト版公開

PHPチームは、PHP 8.6.0の最初のベータリリースであるBeta 1の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 Beta 1のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHubに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはBeta 2で、2026年8月27日に予定されています。

リリース署名はマニフェストまたはリリース候補ページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年7月30日

PHP 8.4.24 リリース！

PHP開発チームは、PHP 8.4.24の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.4ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.4.24のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年7月30日

PHP 8.3.33 リリース！

PHP開発チームは、PHP 8.3.33の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.3ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.3.33のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年7月30日

PHP 8.6.0 Alpha 3 テスト版公開

PHPチームは、PHP 8.6.0の2回目のテストリリースであるAlpha 3の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 Alpha 3のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHub Issuesに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはBeta 1で、2026年8月13日に予定されています。

リリース署名はマニフェストまたはプレリリースビルドページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年7月30日

PHP 8.5.9 リリース！

PHP開発チームは、PHP 8.5.9の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.5ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.5.9のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年7月30日

PHP 8.2.33 リリース！

PHP開発チームは、PHP 8.2.33の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.2ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.2.33のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

2026年7月16日

PHP 8.6.0 Alpha 2 テスト版公開

PHPチームは、PHP 8.6.0の2回目のテストリリースであるAlpha 2の公開を発表できることを嬉しく思います。これはPHP 8.6リリースサイクルの継続であり、その概要はPHP Wikiに記載されています。

PHP 8.6.0 Alpha 2のソースダウンロードはダウンロードページで入手可能です。

このバージョンを注意深くテストし、発見された問題はGitHub Issuesに報告してください。

このバージョンを本番環境で使用しないでください。これは初期のテストバージョンです。

次のリリースはAlpha 3で、2026年7月30日に予定されています。

リリース署名はマニフェストまたはプレリリースビルドページで見つけることができます。

PHPをより良くすることにご協力いただきありがとうございます。

2026年7月2日

PHP 8.5.8 リリース！

PHP開発チームは、PHP 8.5.8の即時利用可能を発表します。これはセキュリティリリースです。

すべてのPHP 8.5ユーザーは、このバージョンへのアップグレードを推奨します。

PHP 8.5.8のソースダウンロードについては、ダウンロードページをご覧ください。Windowsのソースとバイナリもこちらで見つけることができます。変更点のリストはChangeLogに記録されています。

過去のニュースエントリ