Palo Alto Networksは、PAN-OSとPanoramaの全バージョンが「PHP2Shell」の影響を受けると確認しました。PHP2Shellは、ログインなしでWebサーバー上でコードを実行できてしまう、2件の重大なPHPの脆弱性です。Palo Altoは、修正版のPAN-OSをまだ公開していません。FortinetとCiscoもそれぞれ独自のアドバイザリーを公表しましたが、脆弱な製品は現時点で確認されていません。Fortinetは12製品、Ciscoは31の製品とクラウドサービスを調査中です。
Palo Altoによると、PAN-OSの管理インターフェースがインターネットからの接続を受け付けている場合に、リスクが最も高まります。FortinetとCiscoが調査を続けている製品の利用者は、自社が影響を受けるかどうかをまだ把握できません。Ciscoは、当面の回避策は存在しないとしています。
Fortinet：12製品を調査中、12製品は影響なし
FortinetのPSIRTアドバイザリーは、CVE-2026-109618の深刻度をCVSS v3スコア9.8の「クリティカル」と評価し、悪用は確認されていないとしています。FortiGuard Labsの別のレポートでは、両方のCVEにCVSS 4.0で9.2を付けています。
現在も調査中の製品は、次の12製品です。FortiADC、FortiADC Manager、FortiClient EMS、FortiDDoS、FortiDDoS-F、FortiSIEM、FortiMonitor、FortiClient Cloud、FortiSOAR、FortiSOAR PaaS、FortiGuard、FortiEndpointが該当します。
一方、次の12製品は影響を受けないことをFortinetは確認しました。FortiOS、FortiManager、FortiAnalyzer、FortiWeb、FortiMail、Linux・Windows・macOS向けFortiClient、FortiSASE、FortiAuthenticator、FortiSwitch、FortiNACです。FortiGateファイアウォールを動かすOSであるFortiOSも、影響なしのリストに入っています。
PSIRTアドバイザリーには、調査中の製品に対する修正バージョンも回避策も記載がなく、バーチャルパッチの欄は「No」となっています。緩和策については、FortiGuard Labsが、PHPサーバー全般を対象にした別のレポートで扱っています。同レポートによると、FortiGuardは両CVEに対するバーチャルパッチをバージョン37.316で公開済みです。FortiCNAPPは、Linuxディストリビューションのリポジトリからインストールしたphpパッケージについて、両CVEを検出します。レポートの公開時点で、Ubuntu、Debian、Alpine Linux 3.24は修正版を公開していましたが、RHELとその派生ディストリビューション、Amazon Linux、SUSEは未公開でした。このため、これらのFortiCNAPPの検出結果には、修正バージョンがまだ表示されない可能性があります。FortiWebの利用者には、Webアプリケーション保護ポリシーとリクエスト検査の設定を見直すよう勧めています。
FortiGuardがPHPサーバーに対して示す対策は次のとおりです。
- PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかにアップグレードするか、修正を含むベンダー提供のパッケージを適用する。
- パッチ適用を待たなければならない場合は、影響を受けるシステムを信頼できないネットワークから隔離するか、公開中のサービスを一時的に停止する。
- Webサーバーやリバースプロキシで、リクエストサイズ、入力フィールド、マルチパートのセクション、ヘッダー、ネストの深さに制限を設ける。Fortinetは、これらは被害を抑えるものであり、パッチ適用の代わりにはならないとしている。
- 本番環境へ戻す前に、不審なWebリクエスト、PHPワーカーの予期しない挙動、原因不明のプロセス実行、アプリケーションファイルやデータベースへの異常なアクセスを確認する。インターネットに公開しているシステムから優先して調べる。
PHP 8.1以前は、PHPプロジェクトからのセキュリティ更新が終了しています。そのためFortinetは、これらのバージョンを使う利用者に対し、OSベンダーによるバックポート修正を探すか、サポート対象のリリースへ移行するよう呼びかけています。
Cisco：31の製品・サービスを調査中、回答はまだなし
Ciscoのアドバイザリーは、これらの脆弱性の深刻度を「クリティカル」と評価しています。脆弱だと確認された製品は1つもありません。影響を受けないと確認された製品のリストも空です。
Ciscoが調査中なのは、18製品と13のクラウドサービスです。
- ネットワーク／コンテンツセキュリティ：Cisco AI Defense（ハイブリッドのオンプレミス展開）、Cisco Hypershield、Cisco Identity Services Engine（ISE）
- ネットワーク管理／プロビジョニング：Cisco Business Process Automation（BPA）、Cisco Catalyst Center（旧DNA Center）、Cisco Catalyst SD-WAN Manager、Cisco Nexus Dashboard Insights、Cisco WAN Automation Engine（WAE）
- サービスプロバイダー向けルーティング／スイッチング：Cisco ASR 5000 Series Software（StarOS）、Cisco Policy Suite（CPS）、Cisco Ultra Cloud Core（Converged Policy and Charging、Policy Control Function、Subscriber Microservices Infrastructure）
- 音声／ユニファイドコミュニケーション：Cisco Expressway Series
- ワイヤレス：Cisco Ultra-Reliable Wireless Backhaul（URWB）、Cisco Unified Industrial Wireless Software
- アプリケーション可観測性：AppDynamics On-Premises Secure Application、AppDynamics PHP Agent
- クラウドサービス：AppDynamics SaaS Secure Application、Cisco CX Cloud、Cisco Defense Orchestrator、Cisco IoT Control Center、Cisco Multicloud Defense、Cisco Panoptica、Cisco Secure Access、Cisco Secure Email Threat Defense、Cisco Umbrella、Cisco Vulnerability Management（旧Kenna.VM）、Cisco+ Secure Connect、Slido、Webex
Ciscoは、これらの脆弱性に回避策はないとしています。調査で影響を受ける製品が見つかれば、Bug Search ToolのバグIDとともにアドバイザリーへ追記します。バグの各エントリーには、回避策があればその内容と、修正済みのソフトウェアリリースが記載される予定です。CiscoのPSIRTは、これらの脆弱性の悪用は把握していないとしています。
Palo Alto Networks：PAN-OSとPanoramaが影響対象、修正は準備中
Palo Altoのアドバイザリーは、PAN-OSとPanoramaの全バージョンが影響を受けるとしており、特別な設定がなくても脆弱になります。影響を受けない製品は7つで、Bridgecrew、Cloud NGFW、Cortex XDR Agent、Cortex XSOAR、Cortex Xpanse、Idira、Prisma Accessです。
Palo Altoは、この問題の深刻度をCVSS-Bスコア8.7、緊急度「中程度」の「高」と評価しています。アドバイザリーがベンダースコアとして挙げる9.2よりも低い評価です。Palo Altoが自社製品に使う評価ベクターは、可用性への影響を「高」、機密性と完全性への影響を「なし」と数えます。つまり、PAN-OSへのリスクは、データの漏えいや改ざんではなく、サービス停止として評価されています。アドバイザリーには、この評価に至った経緯の説明はありません。管理インターフェースへのアクセスを1台の踏み台サーバーに限定すると、スコアは7.1に下がります。Palo Altoは、自社製品に対する悪用は把握していないとしています。
PAN-OSの修正版リリースはまだ公開されていません。Palo Altoは、バージョン番号とリリース予定が決まり次第、アドバイザリーに追記するとしています。それまでの間、Palo Altoは次の対応を推奨しています。
- ベストプラクティスの展開ガイドラインに従い、管理インターフェースへのアクセスを信頼できる内部IPアドレスに限定する。
- 脅威防御の検知機能を活用する。Frontier Virtual Patchingを利用する顧客には、PHPが修正版を公開する数時間前の10月20日午後10時21分（太平洋時間）に、Threat ID 543004が配信された。Advanced Threat Preventionでは、10月21日にシグネチャ543004、97622、97623、97624、97625によって標準のIPSカバレッジが追加された。
公開されているエクスプロイトコードの大半は、まだ動作せず
VulnCheckは、計画されていた公開に先立って脆弱性の詳細が漏えいしたことを受け、10月20日深夜に、PHP2Shellの両方のバグとみられるものを再現しました。同チームの初期分析では、ARM64システムと、ASLRのないx86システムでは、これらのバグを悪用してリモートコード実行が可能です。ASLR（アドレス空間配置のランダム化）は、プログラムのコードとデータがメモリ上に置かれる場所をシャッフルする仕組みで、エクスプロイトが固定アドレスに頼れないようにします。
GitHubには、数十件の概念実証（PoC）リポジトリが登場しています。VulnCheckは、公開されるたびにこれらを精査しています。同社によると、正しいエクスプロイトの仕組みを実装しているとみられるものはごく少数で、そのいずれも、x86-64システムではASLRを単独で回避できません。一方、ARM64ではASLRを比較的容易にブルートフォースできるとVulnCheckは述べています。
VulnCheckは、コードが動作するか、標的がエクスプロイト可能かを問わず、公開PoCに基づく広範な攻撃の試みが起きると予想しています。そのため、ログに大量の攻撃の試みが残っていても、そのサーバーが実際に危険にさらされているかどうかはほとんど判断できません。
Palo Altoは、修正版のPAN-OSが利用可能になり次第、アドバイザリーを更新するとしています。Ciscoも、調査の進展に合わせて製品リストを更新する予定です。FortinetのFortiGuard Labsは、状況を監視しており、追加の保護策が利用可能になり次第公開するとしています。
