Accops HySecure GatewayのPHP2Shellの影響について
■概要
この度、Accops HySecureが、PHPの2つの重大なリモートコード実行の脆弱性（CVE-2026-109618およびCVE-2026-109619）であるPHP2Shellの影響を受けることを確認しました。
分析の結果、PHPモジュール（mod_php）がHySecure Webサーバーにロードされているため、インターネットに接続されたパスからPHPファイルが実行されていない場合でも、PHPリクエストの起動時にこの脆弱性が悪用される可能性があることが判明しました。PHP修正済みバージョンを含むHySecureの修正パッチのリリースが準備できているため、早急な適用を強く推奨します。
■アドバイザリ詳細
アドバイザリID：ASA-2026-1001発行日：2026-10-22シビラティ：9.2 (Critical)CVE：CVE-2026-109618, CVE-2026-109619
■PHP2Shellとは？
PHP2Shellとは、PHPプロジェクトが2026年10月21日に公表した、PHPランタイム自体に存在する2つの重大な脆弱性の名称です。これらの脆弱性のいずれかを利用すると、認証されていない攻撃者が、細工されたHTTPリクエストを送信することで、PHPが実行されているアカウントでサーバー上でコードを実行できてしまいます。
＜CVE-2026-109618＞
・説明：メモリ不足による破損を利用したリモートコード実行（RCE）：
部分的に初期化されたままのリクエストデータは、クリーンアップ中に有効なものとして扱われる可能性がある。
・CVSS v4.0：9.2
＜CVE-2026-109619＞
・説明：古いグローバル状態を介したリモートコード実行（RCE）：
リクエストが所有する状態は、メモリが解放された後も存続する可能性がある
・CVSS v4.0 : 9.2
PHPは、PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正プログラムをリリースしました。公開されている報告によると、PHP 5.x以降のバージョンが影響を受けています。現時点では、実際の悪用事例に関する報告は情報源によって異なっていますが、現在も悪用されている可能性が高いと見られています。
■Accops HySecureへの影響
Accops HySecureは、PHPモジュール（mod_php）をロードしたApacheをループバックアドレス上で内部サービスとして実行します。
これらの脆弱性はPHPランタイム自体に存在し、PHPスクリプトが実行される前にリクエストの起動時に発生するため、攻撃が成功すると、攻撃者はPHPが実行されているアカウントで、影響を受けるHySecure Webサーバー上でコードを実行できてしまう可能性があります。
■主な調査結果
この脆弱性を悪用するには、PHPファイルがインターネットからアクセス可能である必要はありません。mod_phpはHySecureウェブサーバーにロードされているため、PHPファイルが存在しないパスであっても、Apacheによって処理される細工されたリクエストによって脆弱なPHP起動コードに到達できます。したがって、PHPモジュールがロードされている場所であればどこでも、HySecureは影響を受けるとみなします。
■影響を受けるもの
HySecure Gateway
※Apache PHPモジュール（mod_php）がロードされているため。
■推奨される解決策
PHP修正済みバージョンを含むHySecureの修正パッチを適用してください。
■影響を受けないもの
Workspace Client
HyWorks / HyLabs
VDI / SHD
