PHP 8.3.36 released - 1 fixes in 1 components, including security fixes (CVE-2026-109618, CVE-2026-109619). Changelog + downloads: https://t.co/4FyMDXsqh4
— php-net (@php_net) October 21, 2026
出典：X（@php_net）
PHPプロジェクトは2026年10月21日、8.3系のメンテナンスアップデート「PHP 8.3.36」を公開しました。今回のリリースは2件のCVEに対応するセキュリティリリースで、影響を受ける環境には速やかな更新が推奨されています。
みつた
こんにちは、みつたです！PHP 8.3.36が公開され、Coreの状態破損を回避する修正で2件のCVEに対応しました。セキュリティリリースなので、影響を受ける環境では早めに更新したいですね。
PHP 8.3.36の主な修正内容
PHP 8.3.36には、Coreを対象とする1件の修正が含まれています。変更履歴に記載されている内容は、bailoutによる状態破損を回避する修正（Avoid state corruption via bailout）です。
この修正には、次のセキュリティアドバイザリとCVEが記載されています。
- セキュリティアドバイザリ：
GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp - CVE：
CVE-2026-109618、CVE-2026-109619
参照情報には、これらの脆弱性の具体的な影響条件や深刻度、攻撃手法の詳細は記載されていません。
影響を受ける環境には速やかな更新を推奨
今回のアップデートはセキュリティリリースに位置付けられており、影響を受ける環境には速やかなアップグレードが推奨されています。
php.netでは、ビルド、ソースアーカイブ、チェックサムが提供されています。掲載されているソースアーカイブは以下の3形式で、いずれも公開日は2026年10月21日です。
php-8.3.36.tar.gzphp-8.3.36.tar.bz2php-8.3.36.tar.xz
各アーカイブにはSHA-256チェックサムも掲載されています。
まとめ
PHP 8.3.36は、Coreの状態破損を回避する修正を通じて、2件のCVEに対応した8.3系のセキュリティアップデートです。影響を受ける環境では、速やかな更新が推奨されています。
