記事一覧に戻る
PHPセキュリティOSS

PHP の重大なセキュリティリリース（10月21日）に、リリース後すみやかに対応します

php.net で、PHP の重大なセキュリティリリースが予告されました（php.net の告知）。

  • 公開予定: 2026年10月21日（水）14:00 UTC（日本時間 23:00）
  • 内容: 重大な脆弱性 2 件（どちらも CVSS v4.0 で 9.2）
  • 対象のバージョンと修正版は、リリースと同時に発表されます。脆弱性の詳細が先に知られた場合や、実際の攻撃が見つかった場合は、前倒しで公開されることがあります。

K.N.Lab. の対応

PHP で動く OSS の pb-php と pb-migrate について、リリース後すみやかに対応します。

  1. 修正版の PHP が出たら、すみやかに pb-php・pb-migrate のテストを修正版で回して、動作を確かめます。
  2. 結果はこの記事に追記してお知らせします。ツールの側に修正が必要な場合は、すみやかに修正版を公開します。

なお、pb-talk は bash・curl・jq で動くツールで、PHP を使わないため、今回の影響はありません。

pb-php・pb-migrate をお使いの方へ

今回の脆弱性は PHP 本体のものです。ツールを更新するのではなく、PHP 自体を修正版に更新する必要があります。リリースされたらすぐに更新できるよう、準備をおすすめします。

pb-php・pb-migrate は PHP 8.1 以上で動きますが、PHP の公式のサポートは現在 8.2〜8.5 で、PHP 8.1 はすでにサポートが終わっています。8.1 には今回の修正版が出ない見込みです。また、8.2 も公式のサポートが 2026年12月31日で終わります。8.1・8.2 をお使いの場合は、8.3 以降への更新をおすすめします（pb-migrate は v0.7.5 から 8.3 以降をおすすめにしていて、次の 0.8 では 8.3 以上が必要になります）。なお、pb-php は 10 月 21 日に公開した v2.2.0 から、PHP 8.3 以上が必要になりました（下の追記をご覧ください）。

ご不明な点や不具合は、各リポジトリの GitHub Issues へどうぞ。

追記（2026年10月22日）: pb-php の対応が済みました

PHP の修正版は、予定どおり日本時間 10 月 21 日 23 時に公開されました（php.net のセキュリティ情報）。

  • 修正版: PHP 8.2.35・8.3.36・8.4.27・8.5.12
  • 脆弱性: CVE-2026-109618・CVE-2026-109619。どちらも PHP 本体の Web リクエストの処理にあり、アプリケーションのコードが動く前に突かれるおそれがあります。

pb-php は、修正版の PHP 8.2.35・8.3.36・8.4.27・8.5.12 で、すべてのテスト（46 件）が通ることを確かめました。今回の脆弱性は PHP 本体のもので、pb-php のコードを直す必要はありません。あわせて、次の 2 つを公開しました。

  • v2.1.5: 説明だけの更新です（コードの変更はありません）。PHP 8.1 のサポート終了と今回の脆弱性について書き、PHP 8.1・8.2 を非推奨にしました。
  • v2.2.0: 必要な PHP を 8.3 以上にしました。使い方は変わりません。PHP 8.1・8.2 の環境では、Composer が自動で v2.1.5 にとどめます。

pb-php を Web のリクエストの処理で使っている場合は、PHP 自体を修正版に更新してください。pb-php を更新しても、PHP 本体は直りません。

pb-migrate については、次の追記をご覧ください。

追記（2026年10月22日）: pb-migrate の対応が済みました

pb-migrate は、修正版の PHP 8.3.36・8.4.27・8.5.12 で、すべてのテスト（210 件）が通ることを確かめました。今回の脆弱性は PHP 本体のもので、pb-migrate のコードを直す必要はありません。あわせて、予告していた v0.8.0 を公開しました。

  • 必要な PHP を 8.3 以上にしました。コマンドやオプション、動きは変わりません。
  • pb-php は v2.2.0 以上を使います。
  • PHP 8.1・8.2 の環境では、Composer が自動で v0.7.5 にとどめます。v0.8.0 を使うには、PHP を 8.3 以上に更新してください。

これで、pb-php・pb-migrate とも、今回のセキュリティリリースへの対応が済みました。どちらをお使いの場合も、PHP 自体を修正版（8.3.36・8.4.27・8.5.12 以降）に更新してください。