重要な更新: 2026年7月1日より、Zebraはセキュリティを強化するために必須の多要素認証(MFA)を導入します。詳細はこちら。

PHP2シェルの脆弱性(CVE-2026-109618 / CVE-2026-109619) - Zebraのお客様情報

Zebraのステータス
Zebraは、PHP2シェルの脆弱性にさらされる可能性について、お客様に提供しているサービスとアプリケーションを評価しています。それぞれのサービスとアプリケーションは、パッチが適用されているか、または影響を受けていないことが確認されています。 Zebraは、PHP2シェルの影響を受ける他のシステムを特定し、積極的にパッチを適用しています。影響を受けたすべてのシステムのパッチは、2026年10月22日に完了する予定です。予期されて、影響を受けたウェブ用システムはオフラインで削除され、オフラインのままです。パッチが適用されるまで。

概要
2026年10月21日、PHPプロジェクトは、オープンソースのWebスクリプト言語であるPHPに存在する2つの重大な脆弱性に対する緊急セキュリティ更新プログラムをリリースしました。欠陥は、CVE-2026-109618およびCVE-2026-109619として追跡され、まとめてPHP2シェルと呼ばれます。

どちらの欠陥は、Webリクエスト時のPHPのメモリ処理に関連します。これにより、認証されていない攻撃者が脆弱なWebサーバー上でコードを実行する可能性があります。 PHP プロジェクトは、CVSS 4.0 の下で 10 中 9.2 と評価しており、更新することが唯一の完全な修正であると言及しています。

技術的な詳細

CVE-2026-109618: メモリ不足の処理

この欠陥は、メモリ不足時のPHPの対応に起因します。 PHPは、ongjmp()と呼ばれるメカニズムを使用して、現在の操作を自動的に終了します。場合によっては、終了左側の要求データの一部のみが初期化される場合があります。 PHP以降のシャットダウンプロセスが無効なデータに対して動作し、リモートでコードを実行するパスを作成します。

PHP アバウトによると、マルチパーツ フォーム データは、この状態をトリガーするのに役立ちます。例としては、1 つのパーツ内に多くのヘッダーが含まれているリクエストや、PHP がメタルデータを作成するために多くの空のファイルフィールドが含まれていることが含まれます。

修正: PHPは、急速に終了するのではなく、安全なポイントまでメモリ不足エラーを遅延させるようになりました。個別のハードリミットは、より深刻なメモリ不足に対応します。

CVE-2026-109619: 長時間実行ワーカーのスタック状態

この問題には、長時間の PHP ワーカーのグローバル状態の不良が含まれます。 PHPがメモリを解放した後も、リクエストに応じてメモリへの参照を保持することができます。エラーによってクリーンアップが中断され、後からのリクエストがリセットされる前にその状態に達した場合、作業者は無効なメモリを使用する可能性があります。

Webワーカーはリクエストを順番に処理するため、1つのリクエストで左側の状態が後のリクエストに影響を与える可能性があります。アバウトの確認済みパスには、重大なエラー、エラー報告データ、およびセッションのアップロード処理が含まれます。確認されているケースには、mod_pdfのシナリオと、アプリケーションの動作に依存するPHP-FPMパスが含まれます。

特定のサーバーが公開されるかどうかは、PHPのセットアップ、構成、アプリケーション、および拡張機能によって異なります。これらの理由により、パッチの迅速な適用が可能になります。

修正: PHP は、リクエストに関連するより広範なグローバル状態をリセットするようになりました。これにより、ワーカーはリクエスト間で無効な参照を保持する可能性がなくなりました。

更新と連絡
これは継続的なイベントです。 Zebraは引き続き、お客様のアカウントチームと当社のカスタマーコミュニケーションチャネルを通じて更新を提供します。また、サポートページは、新しい情報が入ると、更新されます。ご質問は、 productsecurity@zebra.comまでお送りください。

ソース

この情報は、受信した組織の内部使用のみを目的としています。これは2026年10月22日時点のZebraの理解を反映しており、更新される場合があります。

免責事項: Zebraは、Googleがそれぞれのセキュリティ情報をリリースする時期について、セキュリティアップデートをリリースするようあらゆる試みを行っています。ただし、セキュリティ更新プログラムの配信時間は地域、製品モデル、およびサード パーティのソフトウェア供給業者によって異なる場合があります。一部の状況では、セキュリティ更新プログラムをインストールする前に、OS を最新のメンテナンス リリースに更新する必要があります。個々の製品の更新プログラムは、具体的なガイダンスを提供します。

特に明記されていない限り、これらの新たに報告された問題から積極的な顧客の搾取や悪用の報告はありません。

Zebraテクノロジーズ製品の潜在的なセキュリティ上の問題を認識していますか?