2026年10月21日に公表された PHP と Node.js の脆弱性について、当社の対応をお知らせします。
結論
当社の kintone プラグイン製品は、お客様の kintone 上で JavaScript として動作するもので、PHP も Node.js も使用していません。製品をお使いのお客様に必要な対応はありません。
なお、当社が利用している AWS 関連サービスには Node.js が関係しますが、修正版の適用を確認済みです。
PHP の脆弱性の概要
| CVE番号 | CVE-2026-109618、CVE-2026-109619（通称「php2shell」） |
|---|---|
| 深刻度 | CVSS v4.0 9.2（Critical） |
| 影響 | 認証なしでの遠隔からのコード実行（RCE） |
| 対象 | PHP 8.2.35 未満、8.3.36 未満、8.4.27 未満、8.5.12 未満。PHP 8.1 以前も影響を受けます |
| 修正版 | PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（2026年10月21日 公開） |
Web のリクエストを処理しているすべての PHP 環境（Apache の mod_php、PHP-FPM など）が対象です。WordPress 本体の更新は不要で、PHP の更新が対策になります。
Node.js の脆弱性の概要
| 件数 | 10件（High 4件、Medium 3件、Low 3件） |
|---|---|
| 主なもの | CVE-2026-111497（High）：Brotli 形式の圧縮データの展開時に、メモリの範囲外へ書き込みが起き、遠隔からのコード実行（RCE）につながるおそれ CVE-2026-105483、CVE-2026-106069（High）：TLS 証明書のホスト名の検証をすり抜けられる CVE-2026-105482（High）： dns.resolve が NUL 文字を含む名前を途中で切って名前解決する |
| 対象 | Node.js 22.x、24.x、26.x。サポートが終了した版は修正されません |
| 修正版 | Node.js 22.23.4 / 24.22.1 / 26.12.1（2026年10月21日 公開） |
参考情報
- PHP 公式サイト（英語）
- CVE-2026-109618 アドバイザリ（英語）
- CVE-2026-109619 アドバイザリ（英語）
- Node.js 2026年10月21日 セキュリティリリース（英語）
本件に関するお問い合わせは、お問い合わせフォームよりご連絡ください。