ISSコラム

PHP CVE-2026-109618 / CVE-2026-109619 【CVSS：最大9.2　緊急】

• 確認済み事実：PHPのメモリ管理とリクエスト間状態に起因する脆弱性で、ネットワーク経由の細工したリクエストによりPHPプロセス権限で任意コードが実行される可能性があります。PHP 8.2.35、8.3.36、8.4.27、8.5.12で修正されています。CISAは両CVEをKEVへ追加し、JPCERT/CCは攻撃通信の観測、特定ファイアウォール製品での侵害成功と内部横展開を示唆する痕跡を報告されました。
• 実務上の影響：PHP単体だけでなく、PHPを組み込むアプライアンス、管理画面、Linuxディストリビューションも対象になり得ます。異常に長いPHPSESSID、multipart/form-dataの連続要求、メモリ上限エラー、HTTP 500、ワーカーの異常終了・再起動、不審なプロセス・外向き通信を確認します。緩和策は一部経路に限られるため更新を優先し、侵害疑い時は隔離、証拠保全、資格情報失効を行います。

Fortinet FortiMail CVE-2026-104286 【CVSS：9.8　緊急】

• 確認済み事実：FortiMailの管理インターフェースにパストラバーサルがあり、未認証の攻撃者が細工したHTTP/HTTPS要求で基盤OSへ任意ファイルを書き込めます。CISAは10月1日にKEVへ追加し、Fortinetも実悪用を確認しました。影響範囲はFortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9など、ベンダー情報で確認する必要があります。
• 実務上の影響：メール境界装置は認証情報、証明書、メール本文、ディレクトリ連携情報を保持する。更新に加え、管理UIへの外部到達性、未知ファイル、Webプロセスの子プロセス、設定・管理者変更、認証情報の持出し、装置から内部・外部への不審通信を確認します。侵害が疑われる場合は証明書、管理者、LDAP/API資格情報を交換します。

SiteGuard Server Edition CVE-2026-106931 【CVSS：8.5　緊急】

• 確認済み事実：初期値で有効な統計機能にOSコマンドインジェクションがあり、低権限のアクセスを得た攻撃者が製品稼働サーバー上でrootまたはSYSTEM権限の任意コマンドを実行できます。JVNと開発元は悪用を確認しました。Apache、Nginx、IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6で修正されています。
• 実務上の影響：更新により一部痕跡が消える可能性があるため、先に管理画面の「診断情報」を取得して保全します。更新が困難な場合は統計機能を無効化し、提供パッチを適用します。Webサーバーのサービス・タスク・アカウント・Webshell、WAF管理画面へのアクセス、root/SYSTEM実行履歴を横断調査します。

Brotli CVE-2026-111497 【CVSS：9.2　高】

確認済み事実：Brotli C実装のデコーダーに境界外書込みがあり、細工した圧縮データの展開でメモリ破損、情報漏えい、異常終了、任意コード実行につながる可能性があり、Brotli 1.0.10、1.1.1、1.2.1で修正されました。Node.js、Bun、Pythonパッケージなど多くの下流製品へ波及するため「HTTP2Shell」とも呼ばれます。

実務上の影響：直接依存だけでなく、コンテナ、ランタイム、プロキシ、SDKの推移的依存をSBOMと実行時イメージから確認します。受信Brotliデータを処理する外部公開サービスを優先し、クラッシュ、メモリ異常、デコーダーを起点とする子プロセスを監視します。JPCERT/CCによる公表時点では実悪用確認は示されていないため「高」としました。

Windows Shell CVE-2026-96951 【CVSS：8.8　緊急】

確認済み事実：Windows Shellのセキュリティ機能バイパスで、Microsoftは実悪用を確認しました。攻撃者が細工したファイルをメール、メッセージ、Web等で配布し、利用者が開くとMark of the Webを回避してSmartScreenやOffice Protected View等の下流防御を弱められます。10月のMicrosoft更新で修正されました。

実務上の影響：単独でコード実行を保証する脆弱性ではないが、フィッシングの成功率と後続ペイロードの実行性を高めます。月例更新を端末・VDI・共有端末へ優先展開し、インターネット由来ファイルのゾーン情報欠落、警告なし実行、Office・Explorerからの子プロセスを監視します。

Microsoft Outlook CVE-2026-70291ほか 【CVSS：最大9.8　高】

確認済み事実：10月のMicrosoft更新にはOutlookの複数RCEが含まれ、CVE-2026-70242、CVE-2026-70291、CVE-2026-88156、CVE-2026-97016、CVE-2026-97749はいずれもCVSS 9.8とされました。そのうちCVE-2026-70291とCVE-2026-88156は閲覧ウィンドウが攻撃経路として示され、認証や明示的な添付ファイル操作なしに影響する可能性があります。

実務上の影響：全社的なメール到達性と閲覧ウィンドウの利用により露出が広いため、更新を優先し、未適用端末では閲覧ウィンドウ制限、外部メールの隔離強化、Outlookからの異常な子プロセス・メモリ例外・外向き通信を監視します。公表時点で実悪用確認は示されていないため「高」としました。

本コラムについて

インターネットセキュアサービス㈱（以下、ISS）が提供する脆弱性情報は、全ての脆弱性情報を対象にせず、ISSが次の基準で判断しています。

・インターネット上で悪用が確認されている脆弱性

・CVEスコアが低くても対応が必要と判断した脆弱性

・ISSが対応したインシデントの経験から危険性が高いと判断される脆弱性

なお、記載内容は全てを保証するものではありません。

ISSは、皆様のセキュリティ対策のお役に立つ情報を積極的に発信してまいります。