「PHP2Shell」「Brotli」「eMudhra」の3問題、Microsoftが“今すぐパッチを”

「MSRC」ブログに掲載された告知

　米Microsoftは10月30日（現地時間、以下同）、この2週間ほどで相次いで明らかになった3つのセキュリティ問題について、公式ブログ「MSRC」で対応を呼びかけた。いずれもMicrosoft製品に由来する脆弱性ではないが、Microsoftのサービスやユーザーの「Azure」環境で動くソフトウェアにも組み込まれていることが多いため、Microsoftとユーザーの双方で対応が必要だとしている。

• PHP2Shell（CVE-2026-109618、CVE-2026-109619）：「PHP」ランタイムの致命的なリモートコード実行の脆弱性2件。10月21日に公開された。悪用が確認されており、米CISAが10月26日に「KEV」カタログへ追加した
• Brotli（CVE-2026-111497）：米Googleの圧縮ライブラリ「Brotli」のデコーダーに存在する境界外書き込みの脆弱性。同じく10月21日に公開された。「Node.js」「.NET」「PowerShell 7」「Visual Studio」「PHP」などに組み込まれている。CISAが10月27日に「KEV」カタログへ追加した
• eMudhra：認証局「eMudhra」の「emSign G3」階層で、中間CAの鍵8件（TLS用6件、コード署名用2件）が復元できるほど脆弱に生成されていた問題。ソフトウェアの脆弱性ではないが、対象のルートにつながる証明書は信頼すべきでないとしている

　Microsoft側で運用しているサービスに関しては、緊急の手順で修正が進められているとのこと。自動更新を有効にしているリソースにも、設定したメンテナンス時間内に修正が適用される。

　一方、手動で更新している環境や、自分でインストール・同梱したソフトウェアの場合は、ユーザー自身での対応が必要だ。

　たとえばWindowsに「PHP」は同梱されていないので、「Windows Update」ではアップデートされない。また、「.NET」と「PowerShell 7」に関しても、「Windows Update」の設定で他のMicrosoft製品の更新を受け取るオプション（「Microsoft Update」）を有効にしていない限り、「Windows Update」経由では配信されない。

［Windows Update］－［詳細オプション］設定ページ

　手動で「PHP」や「Brotli」関連製品をアップデートする際は、以下の対策版になっていることを確認すべきだ。

　Windows版「PHP」は「Brotli」の修正でバージョン番号が変わらないため、ビルド番号まで確認する必要がある点には注意。また、更新後は「PHP-FPM」やWebサーバーの再起動、「IIS」のアプリケーションプールのリサイクルなども必要。「PHP」の5.x/7.xは修正されないので、サポートされているバージョンへ移行しなければならない。

　「.NET」は、ランタイムを同梱する自己完結型アプリやネイティブAOTアプリの場合、ホストのランタイムを更新しても修正されない。最新のSDKで再ビルドして配布し直す必要がある。「Visual Studio」は10月30日に修正が公開されており、「Visual Studio Installer」からアップデートできる。

　なお、Windowsに標準搭載される従来の「.NET Framework」は、今回の「Brotli」の脆弱性の影響を受けない。

　「eMudhra」の問題については、Microsoftは10月20日、Windowsの信頼されない証明書の一覧（Disallowed CTL）を更新し、問題の認証局をブロックした。「Microsoft Edge」と「WebView2」にも、問題のTLS証明書をブロックするCRLSet更新を別途配信している。

　さらに10月26日の定例外（OOB）Windows更新プログラムでは、関連するルート証明書など計7件を信頼リストから削除した。10月27日には「Microsoft Edge」の信頼リストからも同じ7件が削除されている。自動の証明書更新を受け取れないWindows環境では、OOB更新の適用が必要だ。

　なお、OSの更新は「Java」のキーストアや「Python」の証明書バンドル、コンテナーイメージといった、アプリが独自にもつ証明書ストアには反映されない。これらは個別に更新し、削除されたルートにつながる証明書を置き換える必要がある。