PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）がPalo Alto Networks製品に与える影響についてのお知らせ

ＪＢＣＣ株式会社
ＪＢサービス株式会社

この度、Palo Alto Networks社より、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）がPalo Alto Networks製品に与える影響についてのお知らせが公表されましたので、以下の通りご連絡いたします。

■概要
Palo Alto Networksは、PHPにおける2つの重大な脆弱性（CVE-2026-109618およびCVE-2026-109619）を認識しています。

CVE-2026-109618は、longjmp()によるメモリ不足エラーの処理において、制御フロー管理の不備により要求メモリが初期化されないままになるというリモートコード実行の脆弱性に関するものです。これにより、攻撃者はメモリ不足（OOM）トリガーを利用して確実にRCE（リモートコード実行）を実行できます。

CVE-2026-109619は、longjmp()関数の致命的なエラー処理によってグローバルメモリが解放済みのメモリ領域を指したままになるという、リモートコード実行の脆弱性について説明しています。これらの領域は、後続のリクエストで読み取られたり、分岐されたりする可能性があり、攻撃者は任意のコードを実行できてしまいます。

パロアルトネットワークスは、この問題に関して製品ポートフォリオの評価を実施しました。製品ごとの状況の概要を以下の表に示します。より詳しい情報が入り次第、以下の表を更新いたします。
PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）がPalo Alto Networks製品に与える影響についてのお知らせ

この問題は、今後のPAN-OSのリリースで修正される予定です。