PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関するお知らせ

平素は弊社製品をご利用いただき、誠にありがとうございます。

このたび、PHPにおいて、外部から任意のコードを実行されるおそれのある重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）が公表されました。

PassLogicではPHPを使用しているため、本脆弱性の影響を受ける可能性があります。

また、Red Hat Enterprise Linux 7に含まれるPHPについても、CVE-2026-109619の影響を受けることが明らかになりました。

つきましては、ご利用のPassLogicのバージョンに応じて、以下の対応またはご確認をお願いいたします。

■ 脆弱性の概要

・CVE-2026-109618

PHPのメモリ不足時の処理に不備があり、細工されたHTTPリクエストにより、認証なしでリモートからコードを実行される可能性があります。

・CVE-2026-109619

PHPがリクエスト終了後も解放済みメモリへの参照を保持してしまう不備があり、細工されたHTTPリクエストにより、認証なしで情報漏えいやリモートからのコード実行が行われる可能性があります。

・深刻度：CVSS v4.0 9.2（Critical、PHP開発元による評価）

■ 対象製品

・PassLogic エンタープライズ版 Ver.4.0.0以降

※Red Hatの公式発表によると、Red Hat Enterprise Linux 7はCVE-2026-109619の影響を受けますが、CVE-2026-109618の影響は受けないとされています。

※本脆弱性の影響の有無および対応方法は、ご利用のOSおよびPHPのバージョンによって異なります。

※本お知らせでは、PassLogic Ver.4.0.0以降をご利用のお客様向けの対応方法をご案内しております。Ver.4.0.0未満をご利用のお客様は、弊社サポート窓口までお問い合わせください。

■ 対応方法

1．PassLogic Ver.4.3.1以上をご利用のお客様

Red Hatから提供されている以下のパッチを適用してください。

・Red Hat Enterprise Linux 8（php:7.4 モジュール）

・Red Hat Enterprise Linux 9（PHP 8.0）

適用する正確な手順については、Red Hatへお問い合わせください。

適用後は、Apache（httpd）およびphp-fpmを再起動してください。

適用時には十分な動作確認をお願いいたします。

2．PassLogic Ver.4.3.0（Red Hat Enterprise Linux 8、PHP 7.2）をご利用のお客様

PassLogic Ver.4.3.0ではPHP 7.2を使用していますが、Red Hatが提供する本脆弱性の修正パッチ（RHSA-2026:87080）はPHP 7.4を対象としているため、そのままでは適用できません。

お手数ですが、PassLogic Ver.4.3.1以上にバージョンアップいただきますようお願いいたします。

なお、バージョンアップにつきましては、sales@passlogy.com までご相談ください。

3．PassLogic Ver.4.0.0～4.2.0（Red Hat Enterprise Linux 7）をご利用のお客様

Red Hatの公式情報が更新され、Red Hat Enterprise Linux 7についても、CVE-2026-109619の影響を受けることが明らかになりました。

現時点では、Red Hat Enterprise Linux 7向けの本脆弱性に対応する修正パッチおよび具体的な対応方法について、確認を進めております。

なお、PHP開発元等から暫定的な緩和策が公開されていますが、PassLogicへの適用可否および動作への影響については、現在確認中です。

設定変更をご検討の場合は、弊社サポート窓口までご相談ください。

対応方法が明らかになり次第、改めてご案内いたします。

なお、今後の調査結果や修正パッチの提供状況によっては、緊急での対応をお願いする可能性がございます。

また、セキュリティ対策の観点から、PassLogicの新しいバージョンおよびRed Hat Enterprise Linux 8以降への移行についてもご検討ください。

引き続き、最新情報をご確認いただきますようお願いいたします。

■ 参考情報