【今週のセキュリティ更新まとめ】PHP・証明書ストア（eMudhra）・Node.js・Chrome・Javaで大型の更新が重なった週（10月19〜23日）— 優先順位と今日の確認リスト

今週（10月19〜23日）は、基盤になるソフトの大型の更新が一度に重なりました。サーバーやWebサイトを運用している方は、①PHP（認証なしのリモートコード実行2件）、②証明書ストア（eMudhraの中間CAの鍵が偽造可能と分かった件）、③Node.js（10件）を先に確認してください。個人のパソコンやスマホは、④Chrome 156と⑤Javaです。すでに悪用が確認されているFortinet・SiteGuard・BeyondTrustの3件は、未対応なら最優先です。

この記事の範囲を分けます。今週公開された更新のうち、Webサイトやサーバーの運用に関わりが大きいものを当サイトが選んだまとめで、網羅ではありません。優先順位は当サイトの整理です。各項目の事実（版、日付、数字）は、公式の発表を開いて確認したものを書き、確認できなかったことは最後にまとめました。

今週の更新の早見表

1. PHP：認証なしのリモートコード実行2件（IPAは「PHP2shell」と呼ぶ）

• ▸内容：CVE-2026-109618（メモリ不足の処理に起因）とCVE-2026-109619（古い状態が残ることに起因）。修正版は8.5.12・8.4.27・8.3.36・8.2.35です。公式は、Apacheのmod_phpが最も危険で、アプリのコードが動く前に攻撃が成立する実証があると書いています
• ▸スコア：採番元のPHPグループはどちらもCVSS v4.0で9.2。NVD（NIST）は2026年10月23日 09:59 UTCの時点で、CVE-2026-109618にCVSS v3.1の9.8（CRITICAL）、CVE-2026-109619に8.1（HIGH）を付けています。10月21日夜に公開した当サイトの記事はNVD未登録の時点のもので、その後NVDに載りました
• ▸悪用：公式は「実証された攻撃コードがある」と書きますが、野生での悪用は書いていません。NVDに記録されたCISAの評価（SSVC）は、悪用が「none」です（2026年10月23日の確認時点）
• ▸IPA：10月21日に事前の準備を求め、10月22日に「注意」として公表しました。IPAは、調査に関わったWiz社によればPHP 5.4以降のバージョンは、どちらかの影響を少なくとも受けるとしています。8.1以前は修正が出ないため、更新や移行、場合によっては公開終了も含めて検討するよう書いています
• ▸やること：自分のPHPの版を確認し、修正版へ更新して全てのワーカーを再起動します。詳しくは、当サイトの前の記事（下の「根拠にしたページ」）にあります

2. 証明書：eMudhraの中間CA 8本の鍵が弱く、偽の証明書を作れる状態だった

• ▸何が起きたか：10月17日、研究者の報告で、eMudhraの8つの下位認証局（中間CA）の秘密鍵が、乱数が不十分な状態で作られていたことが分かりました（Google）。誰でもその鍵を割り出し、HTTPSの偽造証明書を作れる状態でした。Chromeは18:05 UTCに報告を受け、19:45 UTCにCRLSetでブロックしました。ブラウザの更新や再起動は要りません（Google）
• ▸Firefox：20:06 UTCに報告を受け、3時間以内（22:59 UTC）に、標準設定の全ユーザーにOneCRLで配信を終えました。設定によって届かなかった少数の人のために、Firefox 158.0.1、ESR 115.43.1、ESR 153.5.1を公開し、Androidには10月21日に158.0.2を追加しています。信頼する証明書の一覧（NSS）も3.131.1で、中間CAに署名したルート証明書を外しました（Mozilla）
• ▸Microsoftは10月20日、Appleは10月22日にブロックしたと、Mozillaの技術者らが作った確認サイトは書いています
• ▸偽の証明書は、ブラウザには使われなかったとみられる：Googleは、TLS用の6つの中間CAについて、ブロックまでに、それにつながるTLS証明書が証明書の公開記録（CT）に記録されていなかったため、CTを必須にするクライアント（Chromeなど）に対して、偽の証明書は使えなかったと書いています。確認サイトも、8本の中間CAについて、この期間のCTの記録がないと書いています。一方、CTを確認しないソフト（curlなど）は、気づかれずに攻撃されうると、確認サイトは書いています
• ▸ブラウザ以外が本番：自前の証明書の一覧を持つソフトは、更新するまで古いままです。更新が確認されているものとして、Go 1.27.3・1.26.10（CVE-2026-111943）、Node.js 26.12.1・24.22.1・22.23.4、Python 3.15.1・3.14.9・3.13.17とcertifi 2026.10.19、curlのCAバンドル（2026-10-20）、Ubuntu・Debian・RHEL・Fedoraなどの`ca-certificates`が確認サイトの一覧に載っています（有志が更新している一覧。載っていない更新もあります）。CloudflareはWARP、cloudflared（2026.10.2）などを更新しました
• ▸Chromeは10月27日（太平洋時間の朝）に、ルート証明書「emSign ECC Root CA - G3」をChromeのルートストアから削除する予定です。この階層の証明書を使っているサイトは、別の階層の証明書へ早く替える必要があるとGoogleは書いています。Chromeは、eMudhraの他のCAを今後も載せるかどうかも調べています
• ▸eMudhraの説明：鍵を作る儀式の一部の手順に欠陥があり、弱い鍵が登録された。8本は取り消し済みで、証明書は一枚も発行されていない。影響は米国の顧客1つの範囲。原因は調査中、としています。Cloudflareは、自社のサービスで悪用の形跡は見つかっていないと書いています
• ▸やること：ブラウザとOSを最新にする（確認サイトの助言）。サーバー側では、使っている言語・ライブラリ・コンテナの証明書の一覧が更新済みかを確認し、更新後は再起動や再デプロイが必要なものがあります。Cloudflareは「証明書エラーが出ても、検証を無効にして解決しない」と書いています

3. Node.js：10月21日のセキュリティリリース（10件）

• ▸修正版：Node.js 22.23.4・24.22.1・26.12.1。Node.jsは、サポートが終わった版は、セキュリティリリースの度に必ず影響を受けると書いています
• ▸深刻度「高」の4件：CVE-2026-111497（Brotliデコーダーの範囲外書き込みで、リモートコード実行につながる。22・24・26系）、CVE-2026-105483（全角の数字で書かれたIPアドレスでTLS証明書のホスト名検証をすり抜ける。24・26系）、CVE-2026-106069（IPアドレスに緩く解決されるホスト名でも検証をすり抜ける。22・24・26系）、CVE-2026-105482（`dns.resolve` がNUL文字を含む名前を切り詰める。22・24・26系）
• ▸「中」の3件：CVE-2026-105481（keep-aliveの接続が、リクエストの前に書かれた応答を処理する）、CVE-2026-106072（正規でないIPv4のホスト名で、DNS名の証明書がIPの接続先を認証してしまう）、CVE-2026-106074（`crypto.randomUUID()`と`randomInt()`の乱数の素が起動スナップショットに保存され、プロセスごとに同じ値を繰り返す）。「低」の3件はZIP、Permission Model関連です
• ▸Brotliの件の読み方：NVDによると、CVE-2026-111497はGoogle Brotli 1.0.3〜1.2.0のデコーダーの不具合で、採番元のGoogleはCVSS v4.0で9.2を付けています（NVDの分析は未了）。Brotliを単体で使うソフトは、1.0.10・1.1.1・1.2.1のいずれかへ上げる必要があります。Node.jsは「高」と表示しており、評価が分かれています
• ▸依存ライブラリの更新も含む：c-ares、証明書の一覧（eMudhra対応）、OpenSSL、SQLite、Undici
• ▸悪用：Node.jsの発表に、攻撃が確認されたという記述はありません。NVDに記録されたCISAの評価も、悪用「none」です（CVE-2026-111497）

4. Chrome 156：353件のセキュリティ修正（重大6件）

• ▸10月20日に安定版へ：Chrome 156.0.8078.47（Linux）、156.0.8078.47／.48（Windows・Mac）。数日から数週間かけて配信されます（Chrome Releases）
• ▸セキュリティ修正は353件。重大（Critical）は6件で、Skia、アクセシビリティ、CSS、描画（Paint）、WebRTCなどのメモリ破壊です。「悪用が確認されている」という記述は、この告知にはありません
• ▸やること：Chromeを最新にして再起動します。ブラウザの更新確認から行えます（当サイトの補足）

5. Java：Oracleの10月の定例パッチ

• ▸Oracleは10月に1,295件の新しいセキュリティパッチを公表しました（Oracle Critical Patch Update, October 2026）
• ▸IPAは10月21日に「注意」で、Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503、8 Update 503-perfが対象だとして、早急な更新を求めています
• ▸やること：使っているJavaの系統の最新版へ。商用利用はライセンスの確認が必要です（IPA）

6. すでに記事にした、悪用確認済みの3件

• ▸Fortinet（FortiOSなど）CVE-2025-61624：管理者からroot権限を奪う悪用の報告。10月16日にCISAのKEVへ。修正版は7.6.5・7.4.10以降など
• ▸SiteGuard Server Edition CVE-2026-106931：国産WAFで、メーカーが悪用を確認。10月20日にKEVへ。更新の前に「診断情報」を保存する
• ▸BeyondTrust Remote Support CVE-2026-102764：認証なしでファイル操作。8月下旬から悪用。10月16日にKEVへ

優先順位の考え方（当サイトの整理）

• ▸最優先：すでに悪用が確認されている3件（上の6）が、自分の環境にあるか。ある場合は、更新と侵害の確認（診断情報の保存、ログの確認）まで
• ▸次に：インターネットに公開しているサーバーのPHP。公式が「直ちに」と書き、認証なしで攻撃が成立する構成があります。悪用は未確認ですが、公開直後で、攻撃コードの実証があります
• ▸そのあと：証明書の一覧を持つ言語ランタイムとコンテナ、Node.js。外向きの通信（APIの呼び出し、Webhook、外部サービスとの連携）の相手の確認が正しくなる更新です
• ▸手元のクライアント：Chrome、Firefox、Java。自動更新が効いていることを確認します
• ▸自分で更新できない場合：ホスティング会社やマネージドサービスの案内を確認します。ここは、各事業者に任されます

今週中に確認すること

• ✓★PHPの版を確認し、8.5.12／8.4.27／8.3.36／8.2.35のいずれかに更新して、全ワーカーを再起動する。8.1以前は、ベンダーのバックポートかサポート中の版へ
• ✓Node.jsの版を確認し、22.23.4／24.22.1／26.12.1へ更新する。EOLの版は更新で直せないため、サポート中の版へ
• ✓OS・言語・コンテナの証明書の一覧（ca-certificatesなど）が更新されたか確認する。Go 1.27.3／1.26.10、Python（certifi 2026.10.19以降）、curlのCAバンドルも対象です。更新後に再起動や再デプロイが必要なものがあります
• ✓証明書エラーが出ても、検証を無効にして解決しない。原因を調べてください（Cloudflareの助言）
• ✓emSign ECC Root CA - G3 につながる証明書を使っていないか確認する。使っているなら、10月27日までに別の階層の証明書へ替える
• ✓Chrome・Firefox・Javaを最新にする。Chromeは再起動まで
• ✓未対応のFortinet・SiteGuard・BeyondTrustがあれば、最優先で対応し、侵害の確認も行う
• ✓自分で更新できない環境は、事業者の案内を確認する

確認できなかったこと

• ▸PHPの野生での悪用の有無。公式に記述はなく、NVD記録のCISA評価は「none」ですが、「悪用が無い」という証明ではありません
• ▸eMudhra以外に、同じ手順で作られた弱い鍵があるか。Googleは、自社のルートストアにある鍵に同じ欠陥のものは無いと確認したと書いています。他の認証局については確認できていません
• ▸eMudhraの説明の検証。eMudhraは「証明書は発行されていない」「影響は米国の顧客1つ」と書いていますが、これは同社の説明で、第三者が確認したものではありません。ブラウザ各社が公表しているのは、8本の鍵が偽造可能だったこと、ブロックしたこと、ルートを外すことです
• ▸証明書の更新状況の全体像。確認サイトの一覧は有志が更新しているもので、載っていない更新や、まだ未更新のものがあります。使っているソフトごとに公式の案内を確認してください
• ▸Node.jsのCVEのNVDの評価。CVE-2026-111497は分析待ちで、他の9件の一部はNVDにまだ記録がありません（2026年10月23日の確認時点）
• ▸Chrome 156の重大6件の詳細。Chromeは、多くのユーザーが更新するまで、詳細を制限しています
• ▸今週ほかに出た更新。この記事は選んだものだけで、網羅ではありません

共有するならこの3行

• ▸今週は大型の更新が重なった。まずPHP（8.5.12／8.4.27／8.3.36／8.2.35）、Node.js（22.23.4／24.22.1／26.12.1）、そして証明書の一覧（OS・言語・コンテナ）を確認。
• ▸★eMudhraの中間CA 8本の鍵が偽造可能と分かり、ブラウザは対応済みだが、自前の証明書の一覧を持つソフトは更新が必要。ChromeはemSign ECC Root CA - G3を10月27日に外す。
• ▸悪用確認済みのFortinet・SiteGuard・BeyondTrustは最優先。自分で更新できないときは、ホスティング会社の案内を確認する。

根拠にしたページ