PHP重大脆弱性「PHP2Shell」、JVNが10月28日更新 FFRI製品にも影響、CISAは2件を悪用確認

PHPにおける認証不要のリモートコード実行につながる脆弱性としてCVEs 2026-109618 と 2026-109619（通称 PHP2Shell）が、JVNは2026年10月28日16時30分に情報を更新した。今回はFFRIセキュリティが「該当製品あり」と報告したベンダ情報が追加された点が特徴である。なお、PHP本体の新規脆弱性の発見ではない。 CISAは10月26日、両CVEを Known Exploited Vulnerabilities（KEV）カタログへ追加した。日本国内ではIPAも同日KEV登録を追記している。

FFRIセキュリティの公式告知によれば、10月21日に公開された2件の脆弱性が同社製品へ与える影響と対応を、顧客専用サイトで案内している。JVNの「該当製品あり」ステータスは特定製品名やバージョンを断定するものではなく、契約製品のライセンス情報に基づく案内を確認する必要がある。