CVE-2026-109618（PHP Group PHP）とは
CVE-2026-109618 は、PHP Group PHP に見つかった脆弱性です。種類は「解放済みメモリの使用（Use-After-Free）」「例外的な状態の不適切な処理」「初期化されていないポインタの使用」「メモリ確保の制御の不備」「資源の不適切な初期化」（CWE-416、CWE-755、CWE-824、CWE-1325、CWE-1419）に当たります。
CVE-2026-109618 とは
「解放済みメモリの使用（Use-After-Free）」は、使い終えて解放したメモリを、プログラムがその後も使ってしまう種類の弱点です。
NVD の評価では、CVSS v3.1 の基本値は 9.8、深刻度は「緊急」です。評価の項目によると、ネットワーク経由で、認証なしで、利用者の操作なしに攻撃が成り立つとされています。
米国の CISA は、この脆弱性が実際の攻撃に悪用されたことを確認し、2026年10月26日にKEV カタログ（悪用が確認された脆弱性の一覧）に載せました。ランサムウェアの攻撃での悪用は、CISA の一覧では「不明（Unknown）」とされています。
- 製品
- PHP Group PHP ほか（php php、siemens ruggedcom ape1808 firmware、paloaltonetworks pan-os、paloaltonetworks panorama virtual appliance）
- 開発元
- PHP Group
- 種類（CWE）
- 解放済みメモリの使用（Use-After-Free）（CWE-416）、例外的な状態の不適切な処理（CWE-755）、初期化されていないポインタの使用（CWE-824）、メモリ確保の制御の不備（CWE-1325）、資源の不適切な初期化（CWE-1419）
- CVSS
- v3.1 基本値 9.8（緊急）
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - KEV の掲載日
- 2026年10月26日
- ランサムウェアでの悪用
- 不明（Unknown）
- CVE の公開日・更新日
- 2026年10月21日／2026年10月31日
- KEV の脆弱性名（原文）
- PHP Memory Corruption Vulnerability
NVD の概要（英語の原文）
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
出典：NVD（CVE の記述。This product uses data from the NVD API but is not endorsed or certified by the NVD.）
影響と対応
CVSS の評価の項目では、影響の大きさは次のとおりとされています。
- 機密性（情報を見られる）
- 高
- 完全性（情報やシステムを書き換えられる）
- 高
- 可用性（サービスを止められる）
- 高
- 対応期限
- 2026年10月29日
CISA が米国の連邦政府機関に求めている期限です。日本の企業に向けた期限ではありませんが、対応の順番を決める目安になります。 - 修正版・回避策
- 修正版のバージョンや回避策は、開発元の公表で確かめてください。この表では、修正版の有無や番号を判断していません。
原典
確かめることの観点
PHP Group PHP について、社内と委託先で次の 4 点を確かめると、対応の要否と順番を決めやすくなります。
- 自社で使っているか社内の機器・サーバー・クラウドの一覧で、PHP Group PHP を使っているか、使っている場合はバージョンを確かめます。
- 委託先が使っているかシステムの保守・運用・開発を任せている委託先や、データを預けているサービスで、PHP Group PHP を使っているかを尋ねます。
- 修正の状況開発元が公表している修正版の適用や回避策の実施が済んだか、済んだ日はいつかを確かめます。CISA の対応期限（2026年10月29日）も順番の目安になります。
- 痕跡の確認開発元や公的機関が痕跡（不正な操作の跡）の確かめ方を公表していれば、それに沿って確認したか、結果はどうだったかを確かめます。
委託先への照会の文面（下書き）
御社のメールに写して、宛先・期日を直してお使いください。当社は照会を送らず、送った内容や回答も預かりません。
件名：PHP Group PHP の脆弱性（CVE-2026-109618）への対応状況のご確認
〇〇株式会社 ご担当者様 いつもお世話になっております。 PHP Group PHP の脆弱性（CVE-2026-109618）について、米国 CISA が悪用を確認したと公表しています。 弊社の業務に関わる範囲で、次の点を教えていただけますでしょうか。 1. 弊社の業務で PHP Group PHP をお使いかどうか（お使いの場合は、バージョン） 2. 開発元が公表している修正版の適用、または回避策の実施の状況と、その日付 3. 開発元や公的機関が公表している痕跡の確認を行ったかどうかと、その結果 4. 弊社のデータへの影響の有無（確認中の場合は、その旨と次のご連絡の目安） 恐れ入りますが、〇月〇日までにご回答いただけますと幸いです。 どうぞよろしくお願いいたします。
関係するレポート
- PHP の複数の脆弱性（CVE-2026-109618、CVE-2026-109619）（要点・ヒアリング質問票・お知らせ文の下書き）