■影響
・PHPの脆弱性(CVE-2026-109618、109619)には、InterSec/MW、InterSecVM/MW
で影響があるサービスがあります。
本脆弱性により、利用するサービスによっては、認証不要でリモートコード
実行（RCE）が可能となる重大な脆弱性が公開されました。総称して「PHP2Shell」
と呼ばれています。
脆弱性に対処するために下記を行ってください。
■対処方法
PHPの脆弱性に対処したパッケージを公開予定です(※) 。
アップデートパッケージを適用してください。
※アップデートパッケージについては、現在準備中となります。
公開情報は随時更新いたします。
■情報
・脆弱性に関する情報
本脆弱性の詳細は以下のリンク先を参照してください。
https://www.jpcert.or.jp/at/2026/at260033.html
・PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
脆弱性の影響有無については以下を参照下さい。
| CVE |
InterSec/MW400 |
InterSecVM/MW |
| MW400n2 |
MW400n |
MW400m |
MW400l2 |
8.0 |
7.0 |
6.0 |
| CVE-2026-109618 |
○ |
○ |
○ |
○ |
○ |
○ |
× |
| CVE-2026-109619 |
○ |
○ |
○ |
○ |
○ |
○ |
○ |
※ 「○」は影響ありです。
■脆弱性の影響を受ける可能性のあるサービス
以下のサービスを利用している場合、本脆弱性の影響を受ける可能性があります。
- Webサーバ(httpd)
- 一般ユーザからのメールフィルタ転送設定、メール着信設定
■脆弱性の影響を受けないサービス
以下のサービスは本脆弱性の影響を受けません。
- メールコントローラ(MWMCTL)
- ネームサーバ(named)サービス
- WEBMAIL-Xサーバ(webmail-httpd)
- DHCPサーバ(dhcpd)
- ファイル転送(ftpd)
- ネットワーク管理エージェント(snmpd)
- ファイル転送(vsftpd)
- システム監視(MW_MONITOR)
- サービス監視(chksvc)
- ディレクトリサーバ(openldap)
- 二重化機能(二重化構成構築キット、二重化構成構築ライセンス)
CLUSTERPRO Xが動作していますが、本脆弱性の影響はありません。
（※ご利用の製品によっては提供していないサービスもあります）
■対象機器
InterSec/MW400n2
InterSec/MW400n
InterSec/MW400m
InterSec/MW400l2
InterSecVM/MW V8.0 for VMware
InterSecVM/MW V8.0 for Hyper-V
InterSecVM/MW V7.0 for VMware
InterSecVM/MW V7.0 for Hyper-V
InterSecVM/MW V6.0 for VMware
InterSecVM/MW V6.0 for Hyper-V
■回避処置
◆Webサーバ
Webサービスを利用してPHPプログラムを動作させている場合は、回避処置はありません
利用の有無を確認して利用を停止するなどで暫定対象を実施してください。
サービスの利用の有無の確認方法は以下の通りです。
ManagementConsole(システム管理者)「サービス」画面で「Webサーバ(httpd)」
サービスが起動中の場合、該当サービスを利用しています。
◆メール転送設定
以下、2つの条件をすべて満たす場合に影響があります。
・受信/送信メールの最大容量(message_size_limit)（*1）を 241MB を超える値に設定している
・メールフィルタ転送設定、メール着信設定を設定しているユーザー宛てに受信されている
（メール標準転送にて、メールを転送されている場合は、本脆弱には該当いたしません）
*1)Management Console(システム管理者画面)にログイン後、左ペインメールサーバを
押下してください。
[基本設定]を押下し、表示されるパラメータ
※デフォルトは100MB
メールフィルタリング転送の利用の停止ができない場合、
上記「受信/送信メールの最大容量(message_size_limit)」の値を200MB以下にして回避
してください。