PHPの特定のパッチ適用済みリリース以前のバージョンにおいて、2つのメモリ関連の脆弱性が発見されました。認証されていないリモート攻撃者は、細工されたHTTPリクエストを送信することでこれらの欠陥を悪用できます。1つ目のCVE-2026-109618は、PHPのメモリ不足処理におけるメモリ破損の問題です。これは、メモリ不足状態が部分的に初期化されたデータでリクエスト処理を中断したときに発生します。その後のクリーンアップ試行が無効なメモリにアクセスし、破損と潜在的なコード実行につながります。2つ目のCVE-2026-109619は、グローバル状態管理におけるuse-after-freeの脆弱性です。これは、ワーカーが解放されたリクエストメモリへの参照を保持し、その後のリクエストが古い状態にアクセスすることを可能にしたときに発生します。どちらの脆弱性も任意のコード実行につながる可能性があり、機密性、完全性、可用性を侵害します。Apache mod_phpのデプロイメントは特に危険であり、アプリケーションコードが実行される前に悪用が発生する可能性があります。解決策は、PHPをパッチ適用済みのバージョンに直ちに更新することです。パッチ適用が不可能な場合、両方のCVEに対する一時的な緩和策が利用可能です。これには、メモリ制限の調整、セッションアップロード進捗の無効化、サーバーレベルのリクエスト制限の強制が含まれます。ネットワークセグメンテーションと最小限の権限でPHPを実行することも、影響を制限できます。