令和8年10月22日
お客様各位
株式会社ネットワークバリューコンポネンツ
PHPコアにおけるリモートコード実行(RCE)の脆弱性(CVE-2026-109618、CVE-2026-109619)
[FG-IR-26-186]
平素より弊社サービスをご利用いただき、誠にありがとうございます。
Fortinet より、PHPコアにおけるの脆弱性(CVE-2026-109618、CVE-2026-109619) [FG-IR-26-186]が公開されまし
たので、ご案内いたします。
■概要
CVE-2026-109618
PHPでは、メモリ不足（OOM：Out of Memory）エラーが発生した際、現在のコンテキストを終了し、リクエストの
処理を中止するために longjmp() を使用します。一部のコンテキストでは、このような状況が適切に考慮されておらず、
メモリ割り当てを行う前に、リクエスト用メモリが初期化されていない状態のまま残される可能性があります。
その後のリクエストのクリーンアップ処理において、この未初期化のメモリが読み取られたり、その内容に基づいて
処理が分岐したりする可能性があります。
複数のOOM（メモリ不足）を発生させる手法によって、この状態を継続的に引き起こすことが可能であり、リモート
コード実行（RCE：Remote Code Execution）につながる可能性があります。
Fortinetでは現在、本CVEがFortinet製品に及ぼす影響について調査を行っています。
■調査対象製品
FortiADC
FortiADC Manager
FortiClient EMS
FortiDDoS
FortiDDoS-F
FortiSIEM
FortiMonitor
FortiClient Cloud
FortiSOAR
FortiSOAR PaaS
FortiGuard
FortiEndpoint
■影響無い事が確認された製品
FortiOS
FortiManager
FortiAnalyzer
FortiWeb
FortiMail
FortiClient Linux
FortiClient Windows
FortiClient MacOS
FortiSASE
FortiAuthenticator
FortiSwitch
FortiNAC
■仮想パッチ
ありません。
■詳細情報
本件に関する詳細は、Fortinet社の公式発表をご確認ください。
[Fortinet PSIRT Advisory FG-IR-26-186] https://fortiguard.fortinet.com/psirt/FG-IR-26-186
■お問い合わせについて
ご不明点がございましたら、以下までお問い合わせください。
※有効な契約のあるシリアル番号をご記載ください。
NVCカスタマーサポート nvc-tac@nvc.co.jp (弊社営業日9:00～17:00)