#cve-2026-109618

October 22, 2026

PHPで単一のOOMリクエストから未認証RCEが可能に：2件のCVEが5.4.0まで遡及、WordPress・Drupal・MediaWikiのデフォルト設定が軒並み影響、Chainguardは embargo解除の6時間前に抜け駆け公開；同日にRailwayの環境変数が漏洩・LiteLLMのPyPIパッケージにバックドア混入、標的はいずれもAIパイプラインのクレデンシャル