ブログ
PHP脆弱性に悪用の動き｜社内の機器はメーカー発表で確認を
10月21日に公表されたPHP（ホームページなどで広く使われるプログラム言語）の深刻な脆弱性について、JPCERT/CCは10月26日、悪用を試みる通信の観測報告が相次いでいると注意喚起を更新しました。PHPはホームページだけでなく、ネットワーク機器やセキュリティ製品の管理画面にも組み込まれていることがあります。社内の機器が影響を受けるかどうかは、各メーカーが出している「影響あり・なし」の発表で確認するのが近道です。
この記事の要点
- JPCERT/CCが10月26日に更新。実証コードの公開と、悪用を試みる通信の観測報告が相次いでいる
- PHPを組み込んだ製品も影響を受ける可能性があり、メーカーごとに影響の有無を公表している
- まず社内の機器・ソフトの一覧を作り、メーカーの発表と照らし合わせる
結論：機器ごとに「メーカーの発表」を確かめる
JPCERT/CCは、PHPを使う製品やLinuxが提供するPHPも影響を受ける可能性があるとして、製品やOSの提供元の情報もあわせて確認するよう求めています。同じ「ネットワーク機器」でも、メーカーや製品によって影響の有無は分かれます。思い込みで判断せず、型番ごとに発表を見ることが大切です。
背景：メーカーの発表例
中小企業でも使われることの多い国内メーカー2社の発表を、一部抜粋して整理します。
| メーカー | 製品 | 発表内容 |
|---|---|---|
| ヤマハ | ルーター（RTX・NVR・NWR・vRX）、ファイアウォール（FWX120）、スイッチ（SWX）、無線LANアクセスポイント（WLX）、YNO | PHPを使っておらず影響なし（Web管理画面も影響なし） |
| ヤマハ | UTM（UTXシリーズ） | 影響の有無を確認中（10月23日更新時点） |
| ソリトンシステムズ | FileZen、NetAttest EPS-ap など | 旧バージョンは影響あり。10月23日以降に修正版を公開済み |
| ソリトンシステムズ | Zao Server | 影響あり。アップデータ準備中で、ネットにつないでいる場合はインターネットから切り離すよう案内 |
PHP本体では、8.5.12・8.4.27・8.3.36・8.2.35より前のバージョンが対象です。PHP 8.1以前はアップデートが提供されないため、サポート中のバージョンへの移行が推奨されています。
現場で確認する点
1. 社内の機器・ソフトを書き出す
ルーター、UTM、NAS、ファイル共有の仕組み、録画機、ホームページなどを、メーカー名と型番まで一覧にします。一覧があれば、次に似た発表が出たときも数分で照合できます。
2. メーカーのお知らせを型番で照らし合わせる
各社のサポートページに「PHP脆弱性の影響について」といったお知らせが出ています。「確認中」となっている製品は、結果が出るまで定期的に見直します。
3. 「影響あり」は修正版へ、待つ間は管理画面を閉じる
修正版があればすぐ更新します。修正版を準備中の製品は、メーカーの案内に沿って管理画面へのアクセスを社内に限る、インターネットから切り離すなどで守ります。
4. ホームページは管理会社に確認する
自社サイトをレンタルサーバーで動かしている場合は、PHPのバージョンと更新状況を管理会社に確認します。JPCERT/CCは更新に加えて侵害の有無の調査も勧めています。
ひとこと：「影響なし」の発表が出た機器でも、ファームウェアが古いままなら別の弱点が残っていることがあります。今回の照合は、機器の更新状況をまとめて見直す良い機会です。
関連記事：PHPに深刻な脆弱性2件｜自社ホームページの更新確認を／社内にIT担当がいない会社は、外部に任せる範囲をどう決めるか
GT.engineerの対応範囲
社内の機器の一覧づくりから、メーカー発表との照合、更新作業まで対応します。
- ルーター・UTM・NAS・アクセスポイントなどの型番とバージョンの棚卸し
- メーカーの影響発表との照合と、ファームウェア更新
- 管理画面のアクセス制限など、修正版を待つ間の設定見直し
沼津市・三島市・清水町・長泉町・伊豆など静岡県東部の事業者さまのご相談に対応します。
お問い合わせ
「どの機器が社内にあるか分からない」「設定した業者と連絡が取れない」といった段階でもご相談ください。
出典：JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開・10月26日更新）／ヤマハ「PHP脆弱性による当社ネットワーク製品およびサービスへの影響と対応について」（2026年10月22日・23日更新）／ソリトンシステムズ「PHP脆弱性の影響について」（2026年10月22日・随時更新）（いずれも2026年10月27日確認）
