タグ：PHP-FPM

2026-10-21 のもう一つの重大脆弱性 CVE-2026-109619（CVSS 4.0 9.2）。リクエストヒープ解放後も worker が古いグローバル状態を持つ。セッションのアップロード進捗経路は mod_php と FPM で RCE が検証済み。

PHP 公式（2026-10-21）：CVE-2026-109618（CVSS 4.0 9.2）。OOM が初期化途中のリクエストを中断し、mod_php では未認証 RCE が実証済み。修正は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。

2026-09-24 の PHP セキュリティリリース。listen.allowed_clients は IPv6 の先頭 12 バイトだけを比較し、単一アドレスを /96 に広げる。修正は 8.2.34、8.3.35、8.4.26、8.5.11。Unix ソケットと IPv4 のみは対象外。