2件とも認証なしの乗っ取り。mod_phpは「アプリのコードが走る前」に通る

修正版が公開されました。対象バージョンと内容が確定し、サポート切れの版にも例外的な対応が出ています。