PHP、CVSS 9.2の重大脆弱性2件を修正するセキュリティリリースを予告　10月21日14:00 UTC（日本時間23時）公開、情報流出で前倒しの可能性も

php.netのトップページに「Upcoming Critical PHP Security Release」として掲載された告知によると、リリース予定は2026年10月21日（水）14:00 UTCで、日本時間では同日23時にあたる。修正対象は重大な脆弱性2件で、いずれもCVSS v4.0のスコアは9.2。影響を受けるバージョンや修正済みバージョンなどの詳細はリリースと同時に公開される予定で、PHPチームはすべての利用者に、公開後すぐ更新できるよう準備しておくよう呼びかけている。また、脆弱性の詳細が公になった場合や実際の悪用が確認された場合は、予定より早く出すことがあると明記している。X上では告知に先立ち、セキュリティ研究者のFlorian Roth氏がPHPコアのRCE（リモートコード実行）でCVSS 10.0と投稿して話題になったが、公式の評価は9.2となっている。対象バージョンについてはPHP 8系のみ修正されるとの情報も出回っているが、現時点で公式には確認されていない。WordPressやDrupal、各種ECサイトなど稼働中のPHP環境は多いため、ホストやコンテナイメージの棚卸しと、ステージングでの検証手順を事前に用意しておくのが現実的な備えになる。