2026 年 10 月 28 日は、今年最も重大なパッチ適用日の一つとなりつつあります。CISA は、PHP ランタイム、Adobe Commerce のストアフロント、そして広く組み込まれている Google Brotli 圧縮ライブラリにまたがる複数の緊急脆弱性が実際に悪用されていることを確認しました。これらの開示を総合すると、脅威アクターがウェブインフラの根幹を成すソフトウェアを組織的に標的にしている状況が浮かび上がります。このようなソフトウェアは数百万のアプリケーションを静かに支えており、アプリケーション層の下に位置するがゆえに、パッチ適用サイクルで後回しにされがちです。

本日最も緊急性の高い問題は、PHP2Shell および CVSS スコア 9.2 の CVE-2026-109618 として追跡されている PHP のメモリ破損の脆弱性です。CISA はこの脆弱性が実際に悪用されていることを確認し、連邦機関に対して木曜日までのパッチ適用を義務付けました。この脆弱性は認証なしのリモートコード実行を可能にするため、脆弱な PHP インストールへのネットワークアクセスを持つ攻撃者は、一切の認証情報なしにサーバーを完全に侵害できます。関連する PHP2Shell の脆弱性は、攻撃者の技術的なハードルを下げる既製の悪用経路を提供することで、リスクをさらに高めています。PHP ベースのウェブアプリケーションを運用しているあらゆる組織、すなわちインターネットの非常に大きな部分を占める組織は、これを通常のパッチサイクルではなく緊急対応事案として扱うべきです。

EC インフラを運用する組織にとって同様に深刻なのが、Adobe Commerce および Magento に影響する無制限ファイルアップロードの脆弱性 CVE-2026-48356 です。このクラスの脆弱性は、攻撃者がウェブシェルを含む悪意のあるファイルをサーバーに直接アップロードし、再起動や一部の修復試行にも耐える永続的な足がかりを確立できるため、小売・決済環境において特に危険です。Magento ベースのストアフロントは、ペイメントカードスキミング操作やランサムウェアグループの常套的な標的であり、無制限アップロードの脆弱性はまさにそれらのアクターが求める初期アクセスベクターです。Adobe Commerce または Magento インスタンスを運用している組織は、現時点で既に積極的に探索されていると想定してください。

KEV への追加を締めくくるのが、Google Brotli における戻り値未チェックの脆弱性 CVE-2026-111497 です。Brotli はブラウザ、ウェブサーバー、コンテンツデリバリーシステム、および無数のアプリケーション依存関係に組み込まれた圧縮アルゴリズムライブラリです。戻り値未チェックの脆弱性はリモートコード実行ほど劇的には聞こえないかもしれませんが、実際にはライブラリの統合方法によってメモリ破損、アプリケーションのクラッシュ、または悪用可能な状態につながる可能性があります。Brotli の広範な展開により、攻撃対象領域は膨大かつ見えにくいものとなっています。他のソフトウェアにバンドルされているため、組織は影響を受けるバージョンを実行していることさえ把握していない場合があります。

CISA は本日、新たな国家サイバー防衛戦略も発表し、積極的なインフラ堅牢化に向けた連邦政府の継続的な取り組みを示しました。戦略的な詳細が運用ガイダンスに反映されるまでには時間がかかりますが、これらの活発な悪用と同時期に発表されたことは、核心的なメッセージを強調しています。すなわち、事後的なパッチ適用はもはや十分ではなく、組織はソフトウェアインベントリへの継続的な可視性を必要としているということです。

本日の防御上の優先事項：

- 環境内のすべての PHP インストールを直ちに監査し、CVE-2026-109618 の利用可能なパッチを適用してください。木曜日までにパッチ適用が完了できない場合は、ネットワークセグメンテーションを実装して PHP ベースのサービスへの外部アクセスを制限し、PHP2Shell の悪用パターンを標的とした WAF ルールを有効にしてください。

- Adobe Commerce および Magento の展開については、CVE-2026-48356 のベンダーパッチを遅延なく適用してください。暫定措置として、ファイルアップロード設定を見直し、アプリケーションおよびサーバーレベルで許可するファイルタイプを制限し、最近アップロードされたファイルに異常がないか監査してください。公開アクセス可能なディレクトリ内のウェブシェルを確認してください。

- 依存関係の監査を実施して Google Brotli をバンドルしているすべてのソフトウェアコンポーネントを特定し、CVE-2026-111497 の影響を受けるバージョン範囲と照合してください。インターネットに面したサービスおよび信頼できない圧縮入力を処理するコンポーネントのアップデートを優先してください。

- SIEM および EDR のテレメトリを確認し、PHP ベースのウェブシェル活動と一致する指標を探してください。具体的には、ウェブサーバープロセスによって生成された異常な子プロセス、ウェブサーバーホストから不明な宛先への外部接続、およびウェブアクセス可能なディレクトリへの新規ファイル書き込みです。

- 脆弱性管理プログラムに、従来のアセットスキャンでは見落とされることが多い Brotli のような組み込みライブラリを検出できるソフトウェアコンポジション解析が含まれていることを確認してください。

- 組織が連邦機関でない場合でも、パッチ適用のタイムラインを CISA の KEV カタログの期限に合わせてください。これらの期限は悪用が確認されていることを反映しており、あらゆるセキュリティプログラムにとって合理的な緊急性の基準となります。

これらの脆弱性が一日に集中したことは、攻撃者が都合の良いパッチウィンドウを待たないことを改めて示しています。PHP インフラ、EC プラットフォーム、圧縮ライブラリは華やかな標的ではありませんが、至る所に存在する標的であり、大規模な悪用キャンペーンが必要とするのはまさにその遍在性です。

このブリーフィングは情報提供を目的としており、チームの状況認識を支援するためのものです。権威ある修復手順については、常に公式のベンダーアドバイザリおよび CISA のガイダンスを参照してください。