2026年10月の脆弱性対応

2026年10月は「AIによる脆弱性発見・攻撃コード生成」が現実化し、PHPとLinux Kernelというインターネットの基盤技術に重大脆弱性が見つかったことで、多くの企業が緊急アップデート対応を迫られた月だった。

1. PHP2shell（CVE-2026-109618 / CVE-2026-109619）

PHP Foundationは2026年10月、PHPのリモートコード実行（RCE）脆弱性を公表した。通称 PHP2shell と呼ばれ、認証なしでサーバ上のプログラム実行につながる可能性がある重大な脆弱性である。PHPはホームページ、オンラインショップ、システムのフレームワーク、VPN/UTMにも使われていたため話題になった。

• Webサーバへ細工したリクエストを送るだけで悪用可能
• 管理者権限やログイン不要
• Webサイト改ざん
• 情報窃取
• ランサムウェア感染

2. Linux Kernel TCP脆弱性（CVE-2026-98432）

LinuxカーネルのTCP通信処理に存在する重大な脆弱性。CVSS 9.8（Critical）として公開された。パッチリリースまで若干タイムラグがあったことも話題となっている。

攻撃者は、ID不要・パスワード不要・認証不要でネットワーク経由から攻撃可能。成功すると、サーバ停止・メモリ情報漏えい・Root権限取得 の可能性がある。

影響範囲は多数のLinuxディストリビューション

• Red Hat Enterprise Linux
• AlmaLinux
• Rocky Linux
• Ubuntu
• Debian
• Amazon Linux

脆弱性発見から対応までの時系列

日付	内容
2026/10/5頃	Linux本家で修正コミット
2026/10/15頃	CVE-2026-98432公開
2026/10/27頃	AnthropicがAIを利用した攻撃コードを公開・解説
2026/10末	Amazon Linuxなど一部は修正版提供
2026/11月	各ベンダーが対応