PHPのCVE-2026-109618とCVE-2026-109619、パッチ公開前に情報流出か

暫定対策は実エクスプロイトで未確認

この記述は、PHPコアの2件の脆弱性がパッチ公開前に流出し、初期段階の攻撃が始まりつつあるとしている。
セッションのアップロード進捗機能を無効化することや、multipartリクエストを遮断することは一部でリスクを下げる可能性があるものの、実際のエクスプロイトを止めることは確認されていないという。
確認済みの対策としては、修正済みPHPリリースへの更新が挙げられている。

入手できた記述だけでは、露出状況や悪用の確認について、以前と現在を比較できる根拠は示されていない。

この記述は、CVE-2026-109618とCVE-2026-109619の詳細がパッチ公開前に広まったとしており、確認済みの対策は修正済みPHPリリースへの更新だけだとしている。
暫定対策は実際のエクスプロイトに有効と実証されていないともいう。

確認済みの修正はPHP更新

正確であれば、流出から確認済みの修正までの間、PHP運用者はパッチを待ちながら、有効性が未確認の一時的対策を判断することになる。