WAF Gateway(旧SecureSphere)機器と脆弱性「PHP2Shell」（CVE-2026-109618およびCVE-2026-109619）への対応に関しまして

■概要

2026年10月21日、セキュリティ研究者により、PHPランタイムにおける2件の深刻な脆弱性が公開されました。
CVE-2026-109618およびCVE-2026-109619（通称：PHP2Shell）は、攻撃者による任意コードの実行を可能にする
リモートコード実行（RCE）の脆弱性です。
PHP Projectからの情報については、以下をご参照ください。

PHP Security Announcement

https://www.php.net/archive/2026.php#2026-10-20-1

※WAF Gateway(旧SecureSphere)機器への影響に関しまして
※MXサーバ(管理サーバ)、GWサーバ(Gatewayサーバ)機器そのものは本脆弱性の影響を受けません。

上記脆弱性情報の公表より、ベンダー側より脆弱性対策向けソフトウェアパッチと、ADCによるセキュリティポリシー/シグネチャ
が配信されました。現時点(2026/10/22)で観測された攻撃に対処可能です。

※現在(2026/10/22時点)判明している攻撃すべてに対処するには、「ADCコンテンツのアップデート」と「ソフトウェアのアップグレード」の両方が必要となります。
※ソフトウェアパッチのインストールのみでは不十分となります。

本脆弱性のWAF Gateway(旧SecureSphere)を用いた緩和策の詳細を下記へ記載いたします。

■緩和策

オンプレミス環境をご利用のお客様は、現時点(2026/10/22時点)で判明している脆弱性の悪用手法を緩和するために、
以下のADCコンテンツの更新および4つのステップの実施が必要となります。

ADCコンテンツの更新ですが、2026年10月21日付の「ADC Security Content Update」リリースにて、これらのCVEに対応する新しいセキュリティポリシーが2つ追加されました。
これらのセキュリティポリシーを有効にする必要がございます。

・ADC更新状態の確認手順
1.GUIへログインし、Admin>ADCへ移動します。
2.Current ADC ContentよりLast update from ADCのタイムスタンプが最新であることを確認します。

下記本脆弱性緩和向けの4つの手順となります。

対策セキュリティポリシーの有効化
1. Main>Policies>Securityより下記対象セキュリティポリシーを選択します。
  
  CVE-2026-109618, CVE-2026-109619: PHP RCE - session-upload-progress-id-memory-disclosure
2. Match CriteriaタブのEnabledへチェックが入っていることを確認します。
3. ApplyToタブより保護対象のHTTPサービスへチェックが入っていることを確認します。
緩和策の適用
1. Main>Policies>Securityより下記対象セキュリティポリシーHTTP/1.x Protocol Policyを選択します。
2. Policy Rulesタブを選択し、Extremely Long ParameterルールのEnabledへチェックを入れ、+より展開し以下の値を設定します。
  ルール名称：設定値
  Maximum URL Parameter Name Length: 20000
  Maximum URL Parameter Value Length: 20000
3. ApplyToタブより保護対象のHTTPサービスへチェックが入っていることを確認し保存します。
既存のセキュリティポリシーの確認
1. Main>Policies>Securityより下記対象セキュリティポリシーを選択します。
  CVE-2022-25277: Drupal - RCE by Uploading File with an htaccess Extension
2. Match CriteriaタブのActionがBlockであり、Enabledへチェックが入っていることおよび、ApplyToタブの保護対象HTTPサービスへチェックが入っていることを確認します。
3. Main>Policies>Securityより下記対象セキュリティポリシーを選択します。
  Recommended Signatures Policy for Web Applications
4. Dictionary NameがRecommended for Blocking for Web Applicationsの設定行でMatch CriteriaタブのActionがBlockであり、
  Enabledへチェックが存在することおよび、ApplyToタブの保護対象HTTPサービスへチェックが入っていることを確認します。
ソフトウェアパッチ適用後の脆弱性対策セキュリティポリシーの有効化（または手動作成）

下記セキュリティポリシーを手動作成もしくは有効へと設定変更します。

セキュリティポリシー:
CVE-2026-109618, CVE-2026-109619: PHP-RCE Long Response Cookie Ver 14.7
※v15.5OSご利用の場合CVE-2026-109618, CVE-2026-109619: PHP-RCE Long Response Cookie Ver 15.5

※上記セキュリティポリシーでは、新しい一致条件である「レスポンスクッキー値の長さ (response cookie value length)」を使用します。
※新しい一致条件を有効にするには、v14.7.x OSをご利用の場合、14.7patch221「14.7.0.221_0.61590」をインストールする必要がございます。
※v15.5.x OSをご利用の場合、v15.5patch21「15.5.0.21_0.61589」をインストールする必要がございます。

また、14.7patch221「14.7.0.221_0.61590」もしくは、v15.5patch21「15.5.0.21_0.61589」を機器へインストールする前に
ADCを更新された場合、上記セキュリティポリシーはGUI上Main>Policies>Securityへ表示されません。
下記手順にて手動で追加する必要がございます。

追加手順:
1. GUIへログインし、Main>Policies>Securityへ移動します。
2. 画面中央の[+]アイコンをクリックしWeb Serviceを選択します。
3. ポップアップ画面よりセキュリティポリシー名称(CVE-2026-109618, CVE-2026-109619: PHP-RCE Long Response Cookie Ver 14.7)を入力し、
  下記Typeを選択後、Createを押下します。
  Type:Web Service Custom
4. Match Criteriaタブを選択し、Available Match Criteriaより、条件"HTTP Response Cookies Value Max Length"を[↑]で
  Match Criteriaへ移動させます。
5. +アイコンより展開し、下記パラメータを設定します。
  Cookie Name Match: Exact
  Cookie Name: PHPSESSID
  Max Cookie Value Length: 257
6. ActionへBlock、SeverityをHighへ変更し、Enabledへチェックを入れます。
7. ApplyToタブを選択し、保護対象のHTTPサービスへチェックを入れ保存します。

※ADC更新実施前にソフトウェアパッチをインストールした場合は、セキュリティポリシーが表示されますので、有効化するだけで利用可能です。

■備考
上記の脆弱性CVE-2026-109618およびCVE-2026-109619に関しまして、
ご不明点、より詳細な情報をご要望の場合、弊社カスタマーサポートまでお問い合わせください。

■参考情報

リリースノート:

https://docs-cybersec.thalesgroup.com/bundle/v14.7-waf-release-notes/page/83979.htm

https://docs-cybersec.thalesgroup.com/bundle/v15.5-waf-release-notes/page/87153.htm