さまざまなアプリケーションやWebサービスなどで広く使われているプログラミング言語やツールでの脆弱性報告が続いている。オープンソースのプログラミング言語「PHP」では10月21日、リモートコード実行につながる脆弱性があったとして情報とパッチを公開。JavaScript実行環境の「Node.js」でも同日、リモートコード実行につながるものを含む複数の脆弱性情報を公開し、パッチの提供を開始した。
The PHP Foundationでは、メモリ不足(OOM、Out-of-Memory)のエラー処理に起因する「CVE-2026-109618」と、リクエストの処理に関する「CVE-2026-109619」の2件の脆弱性情報を公開。これらを悪用することで、認証されていない攻撃者がPHPの稼働するサーバー上で任意のコードを実行できてしまう(通称PHP2Shell)。CVSS v4.0のスコアはいずれも9.2。
パッチはすでにリリースされており、PHP 8.5.12、8.4.27、8.3.36、8.2.35へアップデートすることで修正を適用可能。LinuxディストリビューションおよびLTSベンダーにも事前にパッチを提供済みで、ベンダーからの更新を適用してほしいとしている。
なお、PHP 5.4系からPHP 8.1系については、PHP Projectからのアップデートの提供が終了している。深刻な脆弱性であるため、PHP 7.4系、8.0系、8.1系向けの最小限のソースバックポートを行なっているが、旧バージョンを使用しているユーザーに対しては、サポート対象バージョンへのアップグレードを呼びかけている。
PHPはWebページやWebアプリケーションなどで幅広く利用されていることから影響範囲が大きい。深刻度の高さから、今回の情報公開はPHP Projectがあらかじめ予告したうえで実施され、直後から多くのWebサイトで緊急のメンテナンスが行なわれている。このほか、Webサイトが影響を受けているかどうかを確認できるツール「PHP Version Checker」もOpenAIから公開されている。
一方、Node.jsでは10月21日、計10件の脆弱性情報を公開。このうち、Brotliデコーダの領域外書き込みの脆弱性「CVE-2026-111497」は、リモートコード実行につながるおそれがあり、深刻度はHighと評価されている。影響を受けるのはNode.js v26.x、v24.x、v22.x系。深刻度がHighとされるものは、これを含め計4件報告されている。
情報公開に合わせ、これらの脆弱性を修正した最新版として、Node.js v26.12.1、v24.22.1、v22.23.4の提供を開始。このほか、c-ares、ca-cert、OpenSSL、SQLite、Undiciの依存関係を更新し、eMudhraの中間CA証明書の問題などへの対処も行なっている。
Node.jsは、クロスプラットフォームに対応したオープンソースのJavaScript実行環境。こちらもサーバーやWebアプリケーションなどで広く利用されている。