B
今週中
PHPおよびNode.jsのランタイムに、リモートコード実行（RCE）を可能にする深刻な脆弱性「PHP2Shell」および「Node2Shell」
📌 一言でいうと
PHPおよびNode.jsのランタイムに、リモートコード実行（RCE）を可能にする深刻な脆弱性「PHP2Shell」および「Node2Shell」が発見されました。PHPの脆弱性（CVE-2026-109618, CVE-2026-109619）はCVSS v4.0で9.2の評価を受けており、未認証の攻撃者がコードを実行できるリスクがあります。セキュリティ企業のInsignary社は、これらの脆弱性への露出を確認するための無料スキャンツール「insignary-chk」を公開しました。
🔍該当判定
- 自社でPHPを利用したWebサーバー（Apache, PHP-FPM, LiteSpeed等）を運用している
- 自社でNode.jsを利用したサーバーやコンテナイメージを運用している
- PHPのバージョンが 8.5.12, 8.4.27, 8.3.36, 8.2.35 より古い
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. PHPを利用している場合は、速やかに修正済みバージョン（PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35以降）へアップデートしてください。2. Node.jsの最新パッチを適用してください。3. Insignary社が提供する 'insignary-chk' ツールを用いて、自社環境の露出状況を確認することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】PHPおよびNode.jsのRCE脆弱性 (PHP2Shell/Node2Shell) 対応について
お疲れさまです。PHPおよびNode.jsのランタイムにおける深刻な脆弱性に関する情報共有です。
■ 概要
PHPおよびNode.jsにおいて、未認証の攻撃者がリモートでコード実行（RCE）を可能にする脆弱性が発見されました。特にPHPの脆弱性（CVE-2026-109618, CVE-2026-109619）はCVSS v4.0で9.2（Critical）と非常に高く、迅速な対応が必要です。
■ 影響範囲
- PHP: Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 等を利用するサーバー
- Node.js: 該当ランタイムを利用するサーバーおよびコンテナイメージ
■ 対応手順
1. PHPのバージョンを確認し、修正済みバージョン（8.5.12, 8.4.27, 8.3.36, 8.2.35以降）へアップデートしてください。
2. Node.jsを最新の安定版に更新してください。
3. 必要に応じて、Insignary社が公開した検出ツール 'insignary-chk' を使用し、露出状況を確認してください。
■ 参考情報
- PHP Project 公式リリース (2026年10月21日)
- Insignary-chk ツール
対応優先度: 高
対応期限: 速やかに
お疲れさまです。PHPおよびNode.jsのランタイムにおける深刻な脆弱性に関する情報共有です。
■ 概要
PHPおよびNode.jsにおいて、未認証の攻撃者がリモートでコード実行（RCE）を可能にする脆弱性が発見されました。特にPHPの脆弱性（CVE-2026-109618, CVE-2026-109619）はCVSS v4.0で9.2（Critical）と非常に高く、迅速な対応が必要です。
■ 影響範囲
- PHP: Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 等を利用するサーバー
- Node.js: 該当ランタイムを利用するサーバーおよびコンテナイメージ
■ 対応手順
1. PHPのバージョンを確認し、修正済みバージョン（8.5.12, 8.4.27, 8.3.36, 8.2.35以降）へアップデートしてください。
2. Node.jsを最新の安定版に更新してください。
3. 必要に応じて、Insignary社が公開した検出ツール 'insignary-chk' を使用し、露出状況を確認してください。
■ 参考情報
- PHP Project 公式リリース (2026年10月21日)
- Insignary-chk ツール
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] RCE Vulnerabilities in PHP and Node.js (PHP2Shell/Node2Shell)
Dear Team,
This is a technical alert regarding critical runtime vulnerabilities affecting PHP and Node.js.
■ Overview
Two critical vulnerabilities, dubbed PHP2Shell and Node2Shell, allow unauthenticated attackers to achieve Remote Code Execution (RCE). The PHP flaws (CVE-2026-109618, CVE-2026-109619) carry a CVSS v4.0 score of 9.2, indicating a critical risk.
■ Scope
- PHP: Servers using Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, and LiteSpeed.
- Node.js: Servers and container images running affected Node.js runtimes.
■ Remediation Steps
1. Update PHP to the patched versions: 8.5.12, 8.4.27, 8.3.36, or 8.2.35.
2. Update Node.js to the latest secure version.
3. Utilize the 'insignary-chk' tool released by Insignary to scan for exposed instances in your environment.
■ Reference
- PHP Project official fixes (Released Oct 21, 2026)
- Insignary-chk tool
Priority: High
Deadline: Immediate
Dear Team,
This is a technical alert regarding critical runtime vulnerabilities affecting PHP and Node.js.
■ Overview
Two critical vulnerabilities, dubbed PHP2Shell and Node2Shell, allow unauthenticated attackers to achieve Remote Code Execution (RCE). The PHP flaws (CVE-2026-109618, CVE-2026-109619) carry a CVSS v4.0 score of 9.2, indicating a critical risk.
■ Scope
- PHP: Servers using Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, and LiteSpeed.
- Node.js: Servers and container images running affected Node.js runtimes.
■ Remediation Steps
1. Update PHP to the patched versions: 8.5.12, 8.4.27, 8.3.36, or 8.2.35.
2. Update Node.js to the latest secure version.
3. Utilize the 'insignary-chk' tool released by Insignary to scan for exposed instances in your environment.
■ Reference
- PHP Project official fixes (Released Oct 21, 2026)
- Insignary-chk tool
Priority: High
Deadline: Immediate