文書番号：HSRC-202610-01
公開日：2026年10月23日
発行元：ハイクビジョン セキュリティ緊急対応センター（HSRC）
重要度：緊急（Critical）
平素は弊社製品をご愛顧いただき、誠にありがとうございます。
オープンソースのスクリプト言語「PHP」において、リモートコード実行（RCE）の脆弱性（通称「PHP2Shell」、CVE-2026-109618、CVE-2026-109619）が公開されました。
本脆弱性が悪用された場合、認証されていない第三者により細工されたPOSTリクエストが送信され、メモリ破損が誘発されることで、最終的に任意のコードがリモートで実行される可能性があります。
弊社では本情報の公開を受け、直ちに影響調査に着手いたしました。現在も詳細な調査を継続して実施しております。本アドバイザリは現時点での調査結果に基づくものであり、新たな情報が判明次第、随時更新いたします。
対象製品をご利用のお客様におかれましては、下記の内容をご確認いただき、対策プログラムの適用等、必要な措置を講じていただきますようお願い申し上げます。
本脆弱性の深刻度は、共通脆弱性評価システム CVSS v4.0（Common Vulnerability Scoring System）に基づき評価されています。
| 項目 | 詳細内容 |
| 脆弱性識別番号 | CVE-2026-109618 / CVE-2026-109619（通称：PHP2Shell） |
| CVSS v4.0 基本値 | 9.2（緊急 / Critical） |
| CVSS v4.0 ベクター | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 脆弱性の種別 | 不正なPOSTリクエスト送信に伴うメモリ破損およびリモートコード実行（RCE） |
| 情報源 | 外部機関による公知情報（公開情報） |
(1) ハイブリッドSAN（Hybrid SAN）
| 製品モデル | 影響を受けるバージョン | 対策・修正プログラムの適用手順 |
| DS-A71024/48/72R DS-A80624/48S DS-A81016/24/36/48/72S DS-A72024/48/72R DS-A80316/24/36/48S DS-A83024S DS-A82024S DS-A82024/48D |
V2.3.9-8 およびそれ以前のバージョン （V2.3.9-8を含む） |
【修正パッチの適用】 ・V2.3.4-2 以上のバージョン： そのまま直接最新の修正パッチへアップグレード可能です。 ・V2.3.4-2 未満のバージョン： 事前に一度「V2.3.4-2」へアップグレードを行った後、最新の修正パッチを適用してください。 ※本パッチ適用後、PHPサービスは初期設定（デフォルト）で無効化されます。なお、ストレージサービス等の主要な機器機能への影響はございません。 ※PHPバージョンアップ対応パッチにつきましては、現在検証を進めております。準備が整い次第、本ページにて改めてご案内いたします。 |
(2) クラスタストレージ（Cluster Storage）
| 対象製品モデル | 影響を受けるバージョン | 対策・お問い合わせ |
| DS-A71024/48R-CVS DS-A81016S-CVS DS-A72024/48/72R-CVS DS-A72024/48/72RH-CVS |
V1.1.4 およびそれ以前のバージョン | 弊社サポート窓口、または担当営業までお問い合わせください。個別に対応ファームウェアおよび適用支援をご案内いたします。 |
本脆弱性への対応に関するご不明点、またはアップデート作業に関する技術的支援が必要な場合は、弊社の技術サポートまたは営業担当までお問い合わせください。
本ドキュメントに記載されている情報は、作成時点における現状有姿（As-Is）の状態で提供されるものであり、明示・黙示を問わず、商品性や特定目的への適合性を含め、いかなる保証も行うものではありません。ハイクビジョンおよびその子会社、供給元は、本ドキュメントの利用または利用不能に起因するいかなる損害（直接的、間接的、付随的、結果的損害を含む）に対しても責任を負いません。また、弊社は本ドキュメントの内容を予告なく改定・更新する権利を留保します。
HIKVISION JAPAN 株式会社
