ネットワーク・セキュリティ機器
PHP2Shell と Palo Alto・Fortinet・Cisco 製品
一部のファイアウォール、管理サーバー、クラウドサービスは PHP を内蔵しています。利用者が自分でパッチを当てることはできず、ベンダーの修正リリースだけが解決策です。各ベンダーがこれまでに公表した内容をまとめます。
最終確認 2026-10-23
管理インターフェースをインターネットに公開しない
修正リリースが出るまで、影響を受ける機器で最も効果的なのは、管理インターフェースへのアクセスを信頼できる内部アドレスに限定し、ベンダーの脅威シグネチャを適用することです。
Palo Alto Networks
影響あり・修正未提供アドバイザリ: CVE-2026-109618 security advisory · アドバイザリ更新日: 2026-10-21
影響あり
PAN-OS 12.2, 12.1, 11.2, 11.1, 10.2 (all versions) · Panorama (all versions)
影響なし
Cloud NGFW · Prisma Access · Prisma Access Agent · Prisma Cloud · GlobalProtect App · Cortex XDR Agent · Cortex XSIAM · Cortex XSOAR · Cortex Xpanse · Bridgecrew · Idira
修正リリース
まだありません。Palo Alto はすべての PAN-OS ブランチと Panorama の提供予定を「TBD」としています。
今すべきこと
管理アクセスを信頼できる内部 IP に限定してください。Threat Prevention をお使いなら、Threat ID 543004、97622、97623、97624、97625 を有効にします（コンテンツバージョン 9162 以降）。Palo Alto は自社製品への悪用を確認していないとしています。
Fortinet
調査中アドバイザリ: FG-IR-26-186 · アドバイザリ更新日: 2026-10-22
調査中
FortiADC · FortiADC Manager · FortiDDoS · FortiDDoS-F · FortiSIEM · FortiMonitor · FortiClient Cloud Services · FortiSOAR · FortiSOAR PaaS · FortiEndpoint
影響なし
FortiOS · FortiProxy · FortiManager · FortiAnalyzer · FortiWeb · FortiMail · FortiMail Cloud · FortiClient EMS · FortiClient (Windows, macOS, Linux, iOS, Android) · FortiSASE · FortiAuthenticator · FortiSwitch · FortiAP · FortiNAC · FortiNAC-F · FortiPAM · FortiDeceptor · FortiSandbox · FortiSandbox Cloud · FortiGate Cloud · FortiPortal
修正リリース
記載なし。Fortinet は以下の製品を調査中です。FortiOS と FortiGate は影響を受けません。
今すべきこと
利用中の製品についてアドバイザリを追跡してください。Fortinet はパッケージ 37.316 で OT IPS シグネチャを公開しました。回避策の記載はありません。
Cisco
調査中アドバイザリ: cisco-sa-php-october26-Jj384Daq (v1.2) · アドバイザリ更新日: 2026-10-22 14:13 UTC
調査中
Identity Services Engine (ISE) · Hypershield · Catalyst Center · Catalyst SD-WAN Manager · Nexus Dashboard Insights · WAN Automation Engine (WAE) · ASR 5000 Series (StarOS) · Ultra Cloud Core – Converged Policy and Charging · Expressway Series · Ultra-Reliable Wireless Backhaul (URWB) · Unified Industrial Wireless Software · AppDynamics PHP Agent · AppDynamics Secure Application (on-premises and SaaS) · Meraki · Splunk · Webex · Slido · CX Cloud · Security Cloud Control · IoT Control Center · Multicloud Defense · Secure Access · Vulnerability Management · Cisco+ Secure Connect
影響なし
AI Defense (hybrid on-premises) · Business Process Automation (BPA) · Policy Suite (CPS) · Ultra Cloud Core – Policy Control Function · Ultra Cloud Core – Subscriber Microservices Infrastructure · Secure Email Threat Defense · Umbrella
修正リリース
記載なし。Cisco は現時点で影響が判明している製品はないとし、修正リリースは製品ごとに Bug Search Tool で公開されます。
今すべきこと
利用中の製品についてアドバイザリを追跡してください。Cisco は回避策はなく、悪用も把握していないとしています。
最終確認: 2026-10-22
その他のベンダー
- ドイツの BSI は、F5、Citrix NetScaler、Palo Alto、OPNsense、Netgate pfSense、QNAP、Synology、cPanel の製品を少なくとも一部影響ありとし、Cisco、WatchGuard、Sophos、Broadcom を影響なしまたは不明としています（10 月 22 日）。各ベンダーのアドバイザリを確認してください。
- NCSC-NL の製品インベントリで PHP を同梱する他の製品を探し、各ベンダーに状況を確認してください。
- ベンダーに直接尋ねる：「この製品はネットワークからのリクエストを処理する PHP を実行していますか。CVE-2026-109618 と CVE-2026-109619 はどのリリースで修正されますか。」
- 修正リリース適用後、ベンダーが再起動やサービス再起動を求めている場合はそれに従ってください。リリースノートを確認しましょう。
よくある質問
FortiGate は PHP2Shell の影響を受ける？+
受けません。Fortinet は FortiOS、FortiProxy、FortiManager、FortiAnalyzer を影響なしとしています。ほかにいくつかの Fortinet 製品が調査中です。上の一覧を参照してください。
PAN-OS は PHP2Shell の影響を受ける？+
受けます。Palo Alto Networks は PAN-OS 10.2〜12.2 の全バージョンと Panorama を影響ありとしており、修正リリースはまだありません。修正が出るまで管理アクセスを制限し、掲載された Threat ID を有効にしてください。
機器の PHP を自分で更新できる？+
できません。機器はベンダーがビルドしたファームウェアで動いています。部品を自分で入れ替えるのはサポート外で、問題が直るとも限りません。ベンダーの修正リリースを待ち、その間は露出を減らしてください。