2026年10月23日、Trellixより、PHPの脆弱性（CVE-2026-109618およびCVE-2026-109619）について、
CM（Trellix Central Management System（CMS））ではPHPを使用しているため、本脆弱性の影響を受けるとの発表がありました。
以下に、本脆弱性の影響および対応状況についてご案内いたします。
■対象製品
CM（Trellix Central Management System (CMS)）※仮想版も対象です。
※影響を受けない製品
NX、EX、HXにはPHPリクエストパスが含まれていないため、影響を受けません。
ETPではPHPを使用していないため、影響を受けません。
■確認されている影響
2026年10月22日時点で、Trellixでは本脆弱性を悪用したCMへの攻撃を確認していません。
■Trellixによるリスク評価
Trellixでは、以下の理由からCMをご利用のお客様に対するリスクは、公表されている深刻度スコアと比較して低いと評価しています。
‐本脆弱性の影響を受けるコードにアクセスするには、FENETサービスの認証情報が必要です。
FENETサービスの認証情報は自動的に生成され、CMの管理対象となっているアプライアンスにのみ発行されます。
‐攻撃を成功させるには、攻撃者が制御できないメモリおよびサーバープロセスの状態など複数の条件が満たす必要があります。
■Trellixでの対応
本脆弱性に対応したPHPのアップデートは、2027年第1四半期(1～3月)にリリース予定のCM 11.0.2に含まれる予定です。
また、CM 11.0.2のリリースに先立ち、CM 11.0.1向けのHotfixが提供されました。
※11.0.1より前のバージョン向けのHotfix提供予定はございません事あらかじめご了承ください。
CM（Trellix Central Management System（CMS））ではPHPを使用しているため、本脆弱性の影響を受けるとの発表がありました。
以下に、本脆弱性の影響および対応状況についてご案内いたします。
■対象製品
CM（Trellix Central Management System (CMS)）※仮想版も対象です。
※影響を受けない製品
NX、EX、HXにはPHPリクエストパスが含まれていないため、影響を受けません。
ETPではPHPを使用していないため、影響を受けません。
■確認されている影響
2026年10月22日時点で、Trellixでは本脆弱性を悪用したCMへの攻撃を確認していません。
■Trellixによるリスク評価
Trellixでは、以下の理由からCMをご利用のお客様に対するリスクは、公表されている深刻度スコアと比較して低いと評価しています。
‐本脆弱性の影響を受けるコードにアクセスするには、FENETサービスの認証情報が必要です。
FENETサービスの認証情報は自動的に生成され、CMの管理対象となっているアプライアンスにのみ発行されます。
‐攻撃を成功させるには、攻撃者が制御できないメモリおよびサーバープロセスの状態など複数の条件が満たす必要があります。
■Trellixでの対応
本脆弱性に対応したPHPのアップデートは、2027年第1四半期(1～3月)にリリース予定のCM 11.0.2に含まれる予定です。
また、CM 11.0.2のリリースに先立ち、CM 11.0.1向けのHotfixが提供されました。
※11.0.1より前のバージョン向けのHotfix提供予定はございません事あらかじめご了承ください。
■CMをご利用のお客様側への推奨事項
Trellixでの対応のほかにも、以下の対応が推奨されています。
１．CMのアクセス制限
CMへのアクセスを管理対象アプライアンスの IP アドレスおよび、管理端末に制限することを推奨します。
CMからTrellix DTIサーバーへの送信方向のHTTPS通信（TCP 443）、または承認されたプロキシ／ローカルDTIサーバーへの通信が
許可されていれば、Security Content（SC）およびFEOSのアップデートは引き続きダウンロードが可能です。
FAUDEおよびAV Suiteについても、それぞれに必要なネットワーク接続が確保されていれば引き続き利用可能となります。
Trellixでの対応のほかにも、以下の対応が推奨されています。
１．CMのアクセス制限
CMへのアクセスを管理対象アプライアンスの IP アドレスおよび、管理端末に制限することを推奨します。
CMからTrellix DTIサーバーへの送信方向のHTTPS通信（TCP 443）、または承認されたプロキシ／ローカルDTIサーバーへの通信が
許可されていれば、Security Content（SC）およびFEOSのアップデートは引き続きダウンロードが可能です。
FAUDEおよびAV Suiteについても、それぞれに必要なネットワーク接続が確保されていれば引き続き利用可能となります。
また、ip filter コマンドを使用することで、CMアプライアンスへのアクセスを特定のIPアドレスに制限することが可能です。
2．CMの管理ネットワークを、一般ユーザー用ネットワークおよびインターネットに公開されているネットワークから分離する
VLANやファイアウォールルールによるネットワークレベルでの分離の実施を推奨されています。
お客様のネットワーク担当者およびファイアウォール担当者と連携し、お客様の環境にて専用のVLAN／サブネットを構成するとともに
アクセス制御ルールを設定して、CM管理ネットワークへの不正なアクセスを制限することをご検討ください。
更新日：
2026年11月5日