Weekly Report: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

JPCERT-WR-2026-1028
JPCERT/CC
2026-10-28

<<>>
■10/18(日)〜10/24(土) のセキュリティ関連情報
目 次

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

【2】ISC BINDに複数の脆弱性

【3】複数のCisco製品に脆弱性

【4】GitLabに複数の脆弱性

【5】Apache Tomcatに複数の脆弱性

【6】Google Chromeに複数の脆弱性

【7】複数のAtlassian製品に脆弱性

【8】複数のMozilla製品に脆弱性

【9】LaravelのTokenGuardに認証回避につながる脆弱性

【10】Roundcube Webmailに複数の脆弱性

【11】MOVEit Transferに複数の脆弱性

【12】複数のOracle製品に脆弱性

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

【15】JPCERT/CCが2026年7月から9月分の「JPCERT/CC 四半期レポート」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

情報源

Security Advisory 0199 - Arista

October 22, 2026 VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker ...

www.arista.com

概要
Aristaが提供するVeloCloud Orchestratorには、SQLインジェクションの脆弱性があります。Aristaは、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。ホスト型はすでに修正済みです。オンプレミス版の利用者は、当該製品を修正済みのバージョンに更新してください。詳細は、開発者が提供する情報を参照してください。

【2】ISC BINDに複数の脆弱性

情報源

JVNVU#91196958: ISC BINDにおける複数の脆弱性（2026年10月）

Japan Vulnerability Notes

jvn.jp

概要
Internet Systems Consortiumが提供するBINDには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

List of BIND Security Advisories

This is a complete list of all BIND security advisories, both current and historical. Advisories apply only to particula...

kb.isc.org

【3】複数のCisco製品に脆弱性

情報源

Cisco Expressway Series Remote Code Execution Vulnerability

A vulnerability in the database service feature of Cisco Expressway Series could allow an unauthenticated, remote attack...

sec.cloudapps.cisco.com

概要
複数のCisco製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Security Advisories

sec.cloudapps.cisco.com

【4】GitLabに複数の脆弱性

情報源

GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 | GitLab Docs

Learn more about GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 for GitLab Com...

docs.gitlab.com

概要
GitLabには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】Apache Tomcatに複数の脆弱性

情報源

JVNVU#93110597: Apache Tomcatにおける複数の脆弱性（2026年10月20日）

Japan Vulnerability Notes

jvn.jp

概要
Apache Tomcatには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Pony Mail

lists.apache.org

【6】Google Chromeに複数の脆弱性

情報源

Stable Channel Update for Desktop

?? The Chrome team is delighted to announce the promotion of Chrome 156 to the stable channel for Windows, Mac and Linux...

chromereleases.googleblog.com

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【7】複数のAtlassian製品に脆弱性

情報源

Security Bulletin - October 20 2026 | Atlassian Support | Atlassian Documentation

confluence.atlassian.com

概要
複数のAtlassian製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【8】複数のMozilla製品に脆弱性

情報源

Security Vulnerabilities fixed in Firefox 158.0.1

www.mozilla.org

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbird、Firefox for Androidが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Mozilla Foundation Security Advisories

www.mozilla.org

【9】LaravelのTokenGuardに認証回避につながる脆弱性

情報源

Token-based API guard Auth Bypass

Laravel's built-in TokenGuard, **when configured with a standard token-based API guard**, may be bypassed to authenticat...

github.com

概要
Laravelに標準搭載されているトークン認証機構「TokenGuard」には、特定の構成において認証回避につながる脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【10】Roundcube Webmailに複数の脆弱性

情報源

Security updates 1.6.20 and 1.7.5 released

Free and open source webmail software for the masses, written in PHP

roundcube.net

概要
Roundcube Webmailには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【11】MOVEit Transferに複数の脆弱性

情報源

Progress Customer Community

community.progress.com

概要
Progress Softwareが提供するMOVEit Transferには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【12】複数のOracle製品に脆弱性

情報源

Oracle Critical Patch Update Advisory - October 2026

Oracle Critical Patch Update Advisory - October 2026

www.oracle.com

概要
複数のOracle製品には、脆弱性があります。対象となる製品およびバージョンは多岐にわたります。この問題は、Oracleが提供するセキュリティパッチを適用することで解決します。詳細は、開発者が提供する情報を参照してください。

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

情報源

PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

www.jpcert.or.jp

概要
PHPには、複数のリモートコード実行につながる脆弱性があります。本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。この問題は、バージョンアップを実施することで解決します。ただし、すでにサポートが終了したバージョンに関しては修正版はリリースされません。詳細は、開発者が提供する情報を参照してください。

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

情報源

https://www.jpcert.or.jp/pr/2026/vulnREPORT_2026q3.pdf

概要

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/wr/2026/wr261028.html#13