概要
2026年10月21日、The PHP Foundation（PHP財団）は、PHPで見つかった2つの重大な脆弱性に対するセキュリティ修正版を発表しました。これらの脆弱性はCVE-2026-109618とCVE-2026-109619として報告されております。この脆弱性は、PHPのウェブサーバー展開に影響を及ぼし、影響を受けたシステムでリモートコード実行（RCE）が行われる可能性があります。
脆弱性の詳細
| CVE-2026-109618 | CVE-2026-109619 |
| | |
タイプ | メモリ不足（OOM）によるRCE | 古いグローバル状態(stale global state)によるRCE |
深刻度 | | |
| PHP 8.5.12、8.4.27、8.3.36、および8.2.35 | PHP 8.5.12、8.4.27、8.3.36、および8.2.35 |
関連情報 | | |
弊社の評価
情報開示後、弊社のセキュリティチームはZoho製品とGoFrugal製品(注：ゾーホージャパンサポート対象外製品。小売店向けPOSソフトウェア。)と、サポートインフラストラクチャをレビューしました。
発見事項
Zoho製品：Zoho製品はPHPを使用しておらず、これらの脆弱性には影響されません。
公開ウェブコンテンツ：当社の一部のブログやパブリックな静的ページはPHPのウェブサーバーでホストされています。これらのページはパッチ適用されたPHPバージョンに更新されました。
- GoFrugal SAM：GoFrugal SAMはPHPのウェブサーバーを使用しています。この製品はパッチ適用されたバージョンに更新されています。
- 内部サービス：当社の一部の内部サービスはPHPのウェブサーバーを使用しています。これらはパブリックインターネットからはアクセス不可能であり、露出が制限されています。しかし、パッチ適用されたバージョンに更新しました。
お客様への影響と必要な対応
Zoho製品の機能やお客様のデータに影響はありません。また、お客様側で必要な対応はありません。当社の環境で、これらの脆弱性が悪用された兆候はありません。
Zohoは、サービスのセキュリティと顧客データの整合性を保護するために、セキュリティのアドバイザリを継続的に監視し、潜在的な脆弱性を評価しています。関連する発見や変更について、速やかに通知いたします。
お問い合わせ
ご質問がある場合は、下記いずれかにお問い合わせください。
参照