Webアプリケーション脆弱性検査ツール「Vex」、PHPの重大な脆弱性（php2shell）に対応する緊急シグネチャをオートスキャナーで提供開始

株式会社ユービーセキュアは、2026年10月22日、Webアプリケーション脆弱性検査ツール「Vex」のオートスキャナーに、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称：php2shell）に対応する緊急シグネチャを追加しました。
今回のシグネチャは、検査対象のWebサイトが、影響を受ける可能性のあるバージョンのPHPで動作しているかを確認する暫定版です。

■ 脆弱性の概要

2026年10月22日、PHPの開発元は、重大な脆弱性2件を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。開発元によると、いずれの脆弱性も、認証を経ずに外部から任意のコードを実行されるおそれがあるもので、深刻度の評価（CVSS v4.0）はともに9.2です。PHP 7.4、8.0、8.1向けには、ソースコードに適用する最小限の修正のみが公開されています。

■ リリース内容

• 対象製品：Vex（オートスキャナー）
• リリース日：2026年10月22日
• 内容：CVE-2026-109618、CVE-2026-109619の影響を受ける可能性があるPHPバージョンを検出するシグネチャ（暫定版）を追加
• 判定の方法：Webサイトの応答に含まれるPHPのバージョン情報から、影響を受ける可能性のあるバージョンかどうかを判定

オートスキャナーをご利用のお客様は、追加の作業なしで本シグネチャをご利用いただけます。

■ ご利用にあたっての注意

暫定版はバージョン情報にもとづいて判定するため、次の点にご注意ください。

• サーバーがPHPのバージョン情報を外部に表示していない場合は、判定できません
• 本シグネチャで検出されなかった場合でも、影響を受けないことを示すものではありません
• OSの提供元が配布する修正済みのパッケージを適用している場合、バージョン番号が変わらず、影響を受ける可能性があると判定されることがあります

修正の適用状況は、サーバーの管理者や提供元の情報とあわせてご確認ください。

■ 今後の予定

脆弱性そのものの有無を確認する検査方式については、提供の時期や方法を含めて検討しています。決まりしだい、あらためてお知らせします。