Microsoft、PHP2Shell・Brotli・証明書失効の3件で緊急対応を呼びかけ
PHPBrotli脆弱性Microsoft証明書
Microsoft Security Response Centerは2026年10月30日、PHPの「PHP2Shell」、Brotliデコーダーの脆弱性、eMudhraの認証局鍵の漏えいという3件について、顧客向けの対応指針を公開した。PHP2ShellとBrotliはいずれもCISAの悪用確認リスト（KEV）に追加済みで、同社は更新後の再起動まで含めた即時対応を求めている。
何が発表されたか
- PHP2Shell（CVE-2026-109618／CVE-2026-109619）: Webリクエストを処理するPHPが対象で、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを挙げている。修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。CISAは2026年10月26日に両CVEを悪用確認リスト（KEV）へ追加した。
- Brotliデコーダーの脆弱性（CVE-2026-111497）: Brotli 1.0.3〜1.2.0で信頼できないデータを展開するソフトが対象。.NET、PowerShell 7、Visual Studio、PHPのWindowsビルド、Git for Windows、Pythonパッケージ、Chromium、Electronが挙げられている。CISAは10月27日にKEVへ追加した。
- eMudhraの認証局鍵の漏えい: emSign G3階層の中間CA鍵8本（TLS 6本、コード署名2本）が対象。ソフトウェアの不具合ではないとしている。
取るべき対応
- PHPは修正版へ更新し、PHP-FPMまたはWebサーバーを再起動する。WindowsではIISのアプリケーションプールやFastCGIプロセスの再読み込みが必要。コンテナやカスタムイメージは作り直す。
- 修正が提供されないPHP 5.xおよび7.xからは移行する。すぐに更新できない場合はPHPプロジェクトの暫定緩和策とAzure WAFの保護を使うが、同社はいずれも脆弱性そのものの修正にはならないとしている。
- BrotliはBrotli 1.0.10 / 1.1.1 / 1.2.1、.NET 8.0.33 / 9.0.22 / 10.0.14、Node.js 22.23.4 / 24.22.1 / 26.12.1などへ更新し、アプリケーションを再起動する。自己完結型やNative AOTのアプリ、コンテナは再ビルドして再配置する。Pythonのbrotliとbrotlicffiは1.2.1および1.2.1.0へ。他サーバーからBrotli応答を取得して展開するアプリも修正が必要で、Azure WAFは受信リクエストしか検査しないとしている。
- 証明書は該当分の信頼を外し、Windowsの証明書信頼とEdgeコンポーネントの更新を適用する。切断された端末には10月26日の帯域外Windows更新を入れる。Linuxの証明書パッケージ、AKSのLinuxノードプール（ノードイメージ2026.10.23以降）、Javaのキーストア、Pythonのバンドル、独自の証明書ストアを持つコンテナも更新対象。Visual Studio向けの修正（CVE-2026-118147）は10月30日に公開された。
- 同社は固定の期限は示しておらず、PHP2ShellとBrotliを「緊急」と位置づけ、再起動を後回しにしないよう求めている。次の保守時間までに日数がある場合は、Azure Update Managerで即時適用するよう案内している。