SDPF クラウド/サーバー におけるPHPの脆弱性（CVE-2026-109618, CVE-2026-109619）の影響について

サーバーインスタンス

ベアメタルサーバー

vSphere

Nutanix

Hyper-V

IaaS Powered by VMware

• 影響範囲​

  • オフィシャルイメージテンプレートのOSにPHPのソフトウェアを導入しているサーバーインスタンス、ベアメタルサーバー、vSphere/Nutanix/Hyper-Vのゲストイメージ、IaaS powered by VMwareの仮想マシン
    ※ オフィシャルイメージテンプレートには、PHPは標準で導入されておりません

• 対処方法

  • 各ソフトウェアベンダーより展開されている手段に従って、お客さまにて修正版のPHPにアップグレードする必要がございます。

• 参考

  • RHUIのバージョンについて
    • RHEL9.8/10.2へのバージョンアップには、RHUIv5 への切り替えが必須となります。
    • その他のマイナーバージョン（7.9/8.10/9.6/10.0）は、RHUIv4/RHUIv5 のどちらでもご利用可能です。（※万が一、RHUIv4で修正版パッケージが取得できない場合はRHUIv5への切り替えをお願いします）
    • 参照：SDPF クラウド/サーバー Red Hat Enterprise Linux向けパッケージ配布用サーバー RHUIv5への更改について

  • Red Hat Enterprise Linuxはサポート中またはExtended Update Support(EUS) 期間中のマイナーバージョン（7.9/8.10/9.6/9.8/10.0/10.2）にて、修正版のPHPソフトウェアをリポジトリから入手できます。それ以外のマイナーバージョンをご利用中の場合は、事前にマイナーバージョンアップを実施する必要があります。
    移行先のマイナーバージョンによって設定手順が異なります。環境に合わせて下記のFAQ・ドキュメントをご参照ください。

    • サーバーインスタンス/ベアメタルサーバー/vSphere

      • RHEL8.10にバージョンアップする場合

        • 標準リポジトリへの切り替え

          • EUSが提供されていないRHELのマイナーバージョンへアップデートできますか？ | Smart Data Platform Knowledge Center

        • パッケージ更新

          • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

      • RHEL7.9/9.6/10.0にバージョンアップする場合

        • EUS/ELSリポジトリへの切り替え（すでにEUS/ELSリポジトリをご利用中の場合、不要の作業です）

          • 概要 – vSphere チュートリアル | Smart Data Platform Knowledge Center

        • EUSリポジトリのバージョン指定・変更（ELSリポジトリをご利用の場合、本作業は不要の作業です。最後の手順「マイナーバージョンアップの実行」のみ実施してください）

          • EUSリポジトリを参照しているRHELにおいてマイナーバージョンアップができません | Smart Data Platform Knowledge Center

      • RHEL9.8/10.2にバージョンアップする場合
        • 事前にRHUIv5への切り替えを実施したうえで、以下のリポジトリ設定・パッケージ更新を行ってください。
        • EUSリポジトリへの切り替え（すでにEUSリポジトリをご利用中の場合、不要の作業です）
          • 概要 – vSphere チュートリアル | Smart Data Platform Knowledge Center
        • パッケージ更新
          • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

    • IaaS Powered by VMware

      • RHEL7.9/8.10にバージョンアップする場合

        • 標準/ELSリポジトリの利用（リポジトリの切り替えは不要です）

        • パッケージ更新

          • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

      • RHEL9.6にバージョンアップする場合

        • EUSリポジトリへの切り替え（EUS有効化の手順を選択して実施してください）

          • RHELリポジトリサーバー変更手順（RHUIv5対応版） – IaaS Powered by VMware チュートリアル | Smart Data Platform Knowledge Center

        • パッケージ更新

          • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

      • RHEL9.8にバージョンアップする場合

        • 標準リポジトリへの切り替え（EUS無効化の手順を選択して実施してください）

          • RHELリポジトリサーバー変更手順（RHUIv5対応版） – IaaS Powered by VMware チュートリアル | Smart Data Platform Knowledge Center

        • パッケージ更新

          • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

  • なお、対象サーバーからRHUIへ直接アクセスせず、プロキシサーバーや内部DNSサーバーなどの中継機器を経由して通信されている場合は、当該機器における通信許可や名前解決の設定（Proxy設定・DNS設定など）についても併せてご確認いただけますようお願いいたします。

• 影響範囲

  • 対象バージョン: 提供中の全てのバージョン

  • 影響を受けるリソース: 管理インタフェースのSNIP(Subnet IP Address)にGUIまたはAPIによる管理アクセスが許可されているリソース

• 対処方法

  • 本脆弱性に関する最新情報および対処方法の詳細については、ベンダーが公開する公式情報を一次情報としてご確認ください。

    • 参考となるベンダー情報：Protecting NetScaler Management Access from PHP CVE-2026-109618 & CVE 2026-109619

  • 下記のいずれかの対応をお願いいたします。

    • ① 脆弱性改修バージョンへのバージョンアップ

      • 脆弱性改修バージョン

        • 13.1-64.32

        • 14.1-73.49

      • 手順書

        • 異なるバージョン間の切替について – ロードバランサー(NetScaler VPX) チュートリアル | Smart Data Platform Knowledge Center

        • 本メニューは新バージョンへのアップグレードを提供しませんので、新バージョンのロードバランサー(NetScaler VPX) を別途ご契約いただき、旧バージョンから切り替えて、ご利用いただく必要があります。

    • ② 管理機能が有効になっているSNIPへのGUI/APIアクセス制限

      • 管理機能が有効になっているSNIPへのGUI/APIアクセスについては、不特定多数からのアクセスを制限し、信頼されるホストまたはネットワークからのみアクセスを許可するよう設定してください。

      • 具体的な設定例は下記ベンダーページをご参照ください。下記ベンダーページに沿ってアクセスコントロールリストを設定する際のPriorityは200番台から利用するように注意してください。（1~199は管理用として使用しているため利用できません。）

        • Protecting NetScaler Management Access from PHP CVE-2026-109618 & CVE 2026-109619

    • ③ 管理機能が有効になっているSNIPへのGUI/APIによる管理アクセスの無効化

      • NetScalerインスタンスへSSHでログイン(※)した上で、以下のコマンドを実行してください。

        • set ns ip x.x.x.x -gui DISABLED -td 10
          ※上記コマンドにおけるx.x.x.xは対象となるSNIPです。

          ※NetScalerインスタンスへSSHでログインする方法は下記をご参照ください。
          NetScaler VPXへのログイン – ロードバランサー(NetScaler VPX) チュートリアル | Smart Data Platform Knowledge Center
          ※コンフィグを保存する場合は save ns config を実行します。

• 影響範囲

  • 対象バージョン： 提供中の全てのバージョン

  • 影響を受けるリソース： GUIによる管理アクセス(J-Web)を有効化しているリソース

  • 影響：CVE-2026-109618の対象となる脆弱性が存在しますが、ベンダーの評価では、本脆弱性を悪用した攻撃は成立しないとされています。なお、CVE-2026-109619の影響は受けません。

• 対処方法

  • 本脆弱性に関する最新情報および対処方法の詳細については、ベンダーが公開する公式情報を一次情報としてご確認ください。

    • 参考となるベンダー情報：CEC Juniper Community

  • 本脆弱性については、ベンダーの評価では悪用が成立しないとされていますが、必要に応じてGUIによる管理アクセス（J-Web）の無効化、または信頼されるホストやネットワークからのみアクセスを許可する設定をご検討ください。

  • GUIによる管理アクセスは、バージョン20.4R2以降ではデフォルトで無効化しています。なお、GUIによる管理アクセスは、弊社のサポート対象外です。

  • GUIによる管理アクセスを利用している場合は下記の対処を実施してください。

    • GUIによる管理アクセスを無効化するためには、vSRXインスタンスへSSHでログインし、コンフィグモード(※)に入った上で、下記のコマンドを実施してください。

      • delete system services web-management

      • commit
        ※コンフィグモードに入る方法は下記をご参照ください。
        vSRXの基本機能 – ファイアウォール チュートリアル | Smart Data Platform Knowledge Center

    • 不特定多数からのアクセスを制限するには、ファイアウォール機能を利用して web-managementによる管理アクセスに使用する通信を遮断してください。

      • ファイアウォール機能の設定方法については、以下のチュートリアルを参考にお客さま環境に合わせた設計をご検討ください。

      • ファイアウォール設定 – ファイアウォール チュートリアル | Smart Data Platform Knowledge Center