何をお探しですか？
セキュリティアドバイザリ：PHPの脆弱性
CVE-2026-109618およびCVE-2026-109619
2026年10月30日
概要
キーサイトは、PHPスクリプト言語において報告された、リモートコード実行（RCE）を引き起こす可能性のある2件の重大な脆弱性 CVE-2026-109618 および CVE-2026-109619 を認識しています。両方とも2026年10月21日に一般に公開され、PHPプロジェクトはCVSS v4.0のスケールでそれぞれ9.2（重大）と評価しています。すでに悪用の試みが公に報告されています。
CVE-2026-109618は、メモリ不足状態の不適切な処理に関連しており、リクエストメモリが無効または部分的に初期化された状態のままになり、リクエストのクリーンアップ中およびRCE時にメモリ破損を引き起こす可能性があります。CVE-2026-109619は、解放された後もメモリを参照し続ける可能性のあるPHPリクエストの状態に関連しており、同じワーカー上の後続のリクエストが完全に初期化される前にこの古い状態を使用し、同様にRCEを引き起こす可能性があります。PHPプロジェクトは、PHP 8.5.12、8.4.27、8.3.36、および8.2.35で修正をリリースしています。
10月27日現在、キーサイトは製品ポートフォリオ全体におけるこれらの脆弱性の潜在的な影響を引き続き評価しています。これまでに完了した評価に基づき、ほとんどのKeysight IPトラフィック、ワイヤレスおよびセキュリティエミュレータ、ならびにネットワークオペレーションモニタリング製品（旧Ixia NAS）は、PHPを使用していないか、該当するソフトウェアリリースから影響を受けるPHPコンポーネントが削除されているため、影響を受けません¹。影響を受けると特定された製品については、以下のリストに該当する脆弱性のステータス、および推奨される修復または緩和策を記載しています。
影響を受ける製品、緩和策、および推奨される対応
| 影響を受ける製品 | 軽減 | 推奨されるアクション |
|---|---|---|
| Hawkeye — CVE-2026-109619の影響を受ける可能性があります。HawkeyeはNginxと共にPHP 8.2.33を使用しています。エンジニアリング部門の調査により、HawkeyeはCVE-2026-109618の影響を受けないことが判明しています。CVE-2026-109619への曝露の可能性は低いと考えられますが、完全に排除されたわけではありません。 | キーサイトは、リリースv6.1.1-101においてPHP 8.2.35へのアップデートを準備しています。 | お客様は、キーサイト サポートをモニタリングし、利用可能になり次第、該当するソフトウェア・アップデートをインストールしてください。 |
| iBypass HD — Webサーバーが有効な場合に脆弱性が存在します。iBypass HDはPHP 5.6.31を使用しています。本製品は開発終了（End-of-Development）となっており、新しいソフトウェアのリリース予定はありません。 | Webサーバーはデフォルトで無効になっています。明示的に有効にしていた場合は、「推奨される処置」に示されているCLIコマンドを使用して無効化してください。 | お客様はWebサーバーを無効な状態に維持してください。Webサーバーが有効になっている場合は、CLIから次のコマンドを実行して無効化してください。 websrv set admin=disable |
脆弱性なしと評価された製品
| 脆弱性なしと評価された製品 | 推奨されるアクション |
|---|---|
| NVOS 6.6.0以降を実行するVisionネットワーク・パケット・ブローカー 該当するPHPコンポーネントは、リリース6.6.0以降で削除されています。この評価には、Vision 7300、Vision Edge 10S（E10S）、Vision Edge 40（E40）、Vision Edge 50（E50）、Vision Edge 100（E100）、Vision 7712、Vision 7816、Vision X、Vision ONE、TradeVision、Vision 400、Vision Edge 400P（E400P）、Vision 400XT（V400XT）、Vision X 400G（VX 400G）、Vision Edge OS - 9516（9516）、Vision Edge 400P Rev2（E400P Rev2）、Vision Edge 400S（E400S）が含まれます。 | お客様は、システムでNVOS 6.6.0以降が実行されていることを確認してください。以前のリリースを実行しているお客様は、具体的なガイダンスについてキーサイト サポートにお問い合わせください。 |
Visionインダストリアル・ネットワーク・パケット・ブローカー | 処置は必要ありません |
| 可視化ソフトウェアおよびクラウド製品 Keysight Vision Orchestrator（KVO）、Virtual Packet Broker（vPB）、5G Service-Based Interface（5G SBI）、CloudLens vTAP、AppStack、TimeKeeperはPHPを使用していません。 | 処置は必要ありません |
| iBypassおよびiLinkAgg製品 IXPR-CU3、IXTP-CU3、IXBP-CU3、iBypass DUO、iBypass 100G、iBypass VHD、iLinkAgg2はPHPを使用していません。評価対象となった残りのポートフォリオは、PHPを使用していないか、PHPベースのグラフィカル・インターフェースを提供していません。 | 処置は必要ありません |
| ThreatARMOR製品 | 処置は必要ありません |
| IFC-CM（Indigo Pro） | 処置は必要ありません |
| ネットワーク・テスト製品 IxNetworkはPHP Web Runtimeを使用していません。IxNetwork VE / Virtual EditionsおよびBreakingPoint VEに脆弱性は存在しません。IxLoad、CyPerf、BreakingPoint System（BPS）、IxOS、IxVeriwave、LoadCore、KCOSはPHPを使用していません。 | 処置は必要ありません |
明示的にリストされていない製品またはリリースについては、キーサイト サポートにお問い合わせの上、製品固有の評価をご依頼ください。
脆弱性の詳細
| CVE | 概要 | CVSS v4.0 | PHPでの修正バージョン |
|---|---|---|---|
| CVE-2026-109618 | メモリ不足の破損を通じたリモートコード実行：中断されたリクエストにより内部データが部分的に初期化されたままになり、リクエストのクリーンアップ処理においてそれが有効なデータとして扱われます。 | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| CVE-2026-109619 | 古いグローバル状態を通じたリモートコード実行：リクエストが所有する状態がメモリ解放後も生存し、同じワーカー上の後続のリクエストによって再利用されます。 | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
PHPプロジェクトによると、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するすべてのPHPインストールがリスクにさらされています。PHPバージョン8.1以前は、PHPプロジェクトからのアップデート提供が終了しています。
潜在的な影響
- 認証なしでの脆弱なWebサーバー上での攻撃者制御コードの実行。これにより、ファイルシステムやデータベースへのアクセス、サービスの停止につながる可能性があります。
- 資格情報、キー、セッションデータなどのメモリ内容が漏洩する可能性があります。
管理インターフェースが侵害されると、周辺ネットワークへの足がかりとして悪用されるおそれがあります。
その他のご質問は、キーサイトまでお問い合わせください。
1 キーサイトは、PHPの脆弱性の影響を受ける製品のリストを作成するために、商業上合理的な努力を払っています。キーサイトはこの情報を便宜上提供するものであり、その完全性を保証するものではありません。
サポートが必要ですか、ご質問がありますか？