SDPF クラウド/サーバー におけるPHPの脆弱性（CVE-2026-109618, CVE-2026-109619）の影響について

サーバーインスタンス

ベアメタルサーバー

vSphere

Nutanix

Hyper-V

IaaS powered by VMware

• 影響範囲​

  • オフィシャルイメージテンプレートのOSにPHPのソフトウェアを導入しているサーバーインスタンス、ベアメタルサーバー、vSphere/Nutanix/Hyper-Vのゲストイメージ、IaaS powered by VMwareの仮想マシン
    ※ オフィシャルイメージテンプレートには、PHPは標準で導入されておりません

• 対処方法

  • 各ソフトウェアベンダーより展開されている手段に従って、お客さまにて修正版のPHPにアップグレードする必要がございます。

• 参考

  • Red Hat Enterprise Linuxは、RHUIv4において修正版のPHPのソフトウェアをダウンロードできない事象を確認しております。RHUIv5では、修正版のPHPのソフトウェアをダウンロードが可能のため、RHUIv4を参照している場合は、RHUIv5へ切り替えをお願いいたします。

    • SDPF クラウド/サーバー Red Hat Enterprise Linux向けパッケージ配布用サーバー RHUIv5への更改について

  • Red Hat Enterprise Linux 8/9/10は最新のマイナーリリース (8.10/9.8/10.2) にて、修正版のPHPソフトウェアをリポジトリから入手できます。それ以外のマイナーバージョンをご利用中の場合は、事前にマイナーバージョンアップを実施する必要があります。
    移行先のマイナーバージョンによって設定手順が異なります。環境に合わせて下記のFAQ・ドキュメントをご参照ください。

    • RHEL8.10にバージョンアップする場合

      • 標準リポジトリへの切り替え

        • EUSリポジトリを参照しているRHELにおいてマイナーバージョンアップができません | Smart Data Platform Knowledge Center

      • パッケージ更新

        • 6.2. パッケージの更新 | DNF ツールを使用したソフトウェアの管理 | Red Hat Enterprise Linux | 9 | Red Hat Documentation

    • RHEL9.8/10.2にバージョンアップする場合

      • EUSリポジトリへの切り替え（すでにEUSリポジトリをご利用中の場合、不要の作業です）

        • 概要 – vSphere チュートリアル | Smart Data Platform Knowledge Center

      • EUSリポジトリのバージョン指定・変更

        • EUSリポジトリを参照しているRHELにおいてマイナーバージョンアップができません | Smart Data Platform Knowledge Center

• 影響範囲

  • 対象バージョン: 提供中の全てのバージョン

  • 影響を受けるリソース: 管理インタフェースのSNIP(Subnet IP Address)にGUIまたはAPIによる管理アクセスが許可されているリソース

• 対処方法

  • 管理機能が有効になっているSNIPへのGUI/APIアクセスについては、不特定多数からのアクセスを制限し、信頼されるホストまたはネットワークからのみアクセスを許可するよう設定してください。

    • 具体的な設定例は下記ベンダーページをご参照ください

    • Protecting NetScaler Management Access from PHP CVE-2026-109618 & CVE 2026-109619

  • 管理機能が有効になっているSNIPへのGUI/APIによる管理アクセスを無効化することでも対処可能です。

    • NetScalerインスタンスへSSHでログイン(※)した上で、以下のコマンドを実行してください。

    • set ns ip x.x.x.x -gui DISABLED -td 10
      ※上記コマンドにおけるx.x.x.xは対象となるSNIPです。

      ※NetScalerインスタンスへSSHでログインする方法は下記をご参照ください。
      NetScaler VPXへのログイン – ロードバランサー(NetScaler VPX) チュートリアル | Smart Data Platform Knowledge Center
      ※コンフィグを保存する場合は save ns config を実行します。

• 影響範囲

  • 現時点では、ベンダーから正式な情報が公開されておらず、影響有無を含め確認中です。

• 対処方法

  • 現時点では本脆弱性の影響有無は不明ですが、念のため、GUIによる管理アクセスを無効化するか、不特定多数からのアクセスを制限し信頼されるホストまたはネットワークからのみアクセスを許可することを推奨いたします。なお、バージョン20.4R2以降ではデフォルトではGUIは無効化されています。またGUIによる管理機能はサポート対象外です。

  • GUIによる管理アクセスを無効化するためには、vSRXインスタンスへSSHでログインし、コンフィグモード(※)に入った上で、下記のコマンドを実施してください。

    • delete system services web-management

    • commit
      ※コンフィグモードに入る方法は下記をご参照ください。
      vSRXの基本機能 – ファイアウォール チュートリアル | Smart Data Platform Knowledge Center

  • 不特定多数からのアクセスを制限するには、ファイアウォール機能を利用して web-managementによる管理アクセスに使用する通信を遮断してください。

    • ファイアウォール機能の設定方法については、以下のチュートリアルを参考にお客さま環境に合わせた設計をご検討ください。

    • ファイアウォール設定 – ファイアウォール チュートリアル | Smart Data Platform Knowledge Center