Web関連ソフトウェアの脆弱性について、直近の重要な発表と続報をまとめました。
今回は、Nextcloud向けCollabora Onlineの脆弱性、PHPの追加セキュリティ情報、GitLabの重大な脆弱性、VeloCloud Orchestratorへの攻撃について取り上げます。
いずれもWebサイトや関連システムの運用に影響する可能性がある情報です。利用している製品とバージョンを確認し、必要な更新を行うことが重要です。
Nextcloud向けCollabora Onlineの脆弱性、悪用が確認される
【緊急度：高】
Nextcloudでオンライン文書編集機能を提供する「Collabora Online – Built-in CODE Server」に、認証なしでOSコマンドを実行される可能性がある重大な脆弱性が確認されています。
この問題はCVE-2026-110447として管理されており、米国のサイバーセキュリティ機関CISAは10月23日、実際の悪用が確認された脆弱性をまとめたKEVカタログに追加しました。
脆弱性の原因は、Built-in CODE Serverのproxy.phpに存在するOSコマンドインジェクションです。攻撃が成立すると、Webサーバーの実行権限で任意のコマンドを実行される可能性があります。
攻撃が成立する条件として、Built-in CODE Serverが動作していない状態が挙げられています。再起動やアップデート、異常終了の直後などが該当する可能性があります。
影響を受ける製品と対策
| 項目 | 内容 |
|---|---|
| 対象製品 | Collabora Online – Built-in CODE Server（richdocumentscode） |
| CVE番号 | CVE-2026-110447 |
| 影響バージョン | 26.4.303未満 |
| 修正版 | 26.4.303以降 |
| 深刻度 | Critical（CVSS v4.0：9.2） |
| 悪用状況 | 実際の悪用が確認されています |
開発元は、26.4.303以降への更新、または対象アプリの削除を推奨しています。
アプリを無効化するだけでは対策にならない点に注意が必要です。
サポートが終了したNextcloud 29以前の環境については、Nextcloud本体の更新、または対象アプリの削除が案内されています。
今回の脆弱性はNextcloudと組み合わせたBuilt-in CODE Serverが対象です。独立して動作するCollabora Onlineサーバーは影響を受けません。
すでに悪用が確認されているため、該当環境では更新を優先してください。侵害が疑われる場合は、不審なアクセスや実行履歴の確認も重要です。
出典
PHPに追加の脆弱性情報、特定のセッション設定でコード実行の可能性
【緊急度：高（該当する設定を利用している環境）】
PHP開発チームは10月23日、セッションのアップロード進捗管理機能に関連する追加のセキュリティ情報を公開しました。
この問題はCVE-2026-115560として管理されています。特定の設定とアプリケーションの処理が組み合わさった場合、リモートコード実行につながる可能性があります。
10月21日に公開されたPHPの重大な脆弱性修正版では、この問題は修正されていません。
影響を受ける条件
PHP公式によると、次の条件がすべて組み合わさる場合に問題が発生する可能性があります。
- session.serialize_handlerにphp_binaryまたはphp_serializeを設定している
- アプリケーションの実行中にini_set()で設定をphpへ変更する
- その後にsession_start()を呼び出す
- session.upload_progress.enabledが有効になっている
このような構成は一般的ではないとされています。実行中にセッションのシリアライズ方式を変更しないアプリケーションは、この攻撃経路の影響を受けません。
暫定対策と修正版
2026年10月26日時点で、CVE-2026-115560を修正するPHPの更新版は公開されていません。PHP開発チームは、次回の通常の不具合修正リリースで詳細な勧告を公開する方針です。
該当する環境では、暫定対策として次の設定が推奨されています。
session.upload_progress.enabled=0設定変更後は、PHP-FPMなどの実行環境に応じて、すべてのPHPワーカーを再起動する必要があります。
この設定は、10月21日に公表されたCVE-2026-109619への緩和策としても案内されていました。すでに設定を適用し、維持している場合は、今回の問題に対する追加作業は必要ないとされています。
10月21日の重大な脆弱性にも引き続き注意
PHPでは10月21日、認証なしでリモートコード実行につながる可能性がある2件の重大な脆弱性も公表されています。
- CVE-2026-109618
- CVE-2026-109619
この2件については、次の修正版が公開されています。
| PHP系列 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
これらの更新は、CVE-2026-115560とは別の2件に対応するものです。
PHP 8.1以前はPHPプロジェクトによる通常のセキュリティサポートが終了しています。一部のLinuxディストリビューションや長期サポート版の提供元では独自に修正を提供している場合があるため、利用環境の提供元による案内を確認してください。
出典
GitLabに深刻度10.0の脆弱性、自己管理型サーバーは更新を
【緊急度：高】
GitLabは10月21日、Community Edition（CE）およびEnterprise Edition（EE）に存在する重大な脆弱性を修正したセキュリティアップデートを公開しました。
特に深刻なのはCVE-2026-110264です。CVSS v3.1による深刻度は最高値の10.0と評価されています。
この脆弱性は、特殊な正規表現を処理する際の整数オーバーフローに起因します。特定の条件下では、認証されていない第三者がGitLabサーバー上で任意のコードを実行できる可能性があります。
修正版
| 対象系列 | 修正版 |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 18.11 | 18.11.13 |
GitLab公式の案内では、7.0以降のバージョンのうち、上記の修正版より前のバージョンが影響を受けます。古い系列を使用している場合は、修正が提供されている系列への移行を検討してください。
GitLabは、自己管理型の環境について速やかな更新を推奨しています。
一方、GitLab.comには修正が適用されています。GitLab Dedicatedについても、公式発表で指定された修正済みバージョン以降であれば追加の対応は不要です。
GitLabは攻撃の試行を検出するための情報も公開しています。ただし、攻撃の試行に関する情報と、実際に悪用されたことの確認は異なります。公開時点での悪用状況については、公式発表や公的機関の情報を確認してください。
出典
VeloCloud Orchestratorの脆弱性、実際の攻撃を確認
【緊急度：高】
Arista Networksは10月22日、ネットワーク管理製品「VeloCloud Orchestrator（VCO）」に存在する重大な脆弱性を公表しました。
この問題はCVE-2026-114625として管理されており、CVSS v3.1による深刻度は9.9です。
脆弱性の原因はSQLインジェクションです。影響を受けるオンプレミス環境では、認証済みユーザーが権限を昇格させ、通常は利用できない内部向けの管理機能へアクセスできる可能性があります。
Arista Networksは、この脆弱性が実際に悪用されていることを確認しています。また、CISAは10月23日にKEVカタログへ追加しています。
影響バージョンと修正版
| 対象バージョン | 修正版 |
|---|---|
| VCO 5.2.x | 5.2.3.18以降 |
| VCO 6.1.x | 6.1.3.10以降 |
| VCO 6.4.x | 6.4.2.12以降 |
影響を受けるのはオンプレミス版のVeloCloud Orchestratorです。ホスト型サービスも影響を受けましたが、Arista Networksによると、すでに修正が適用されています。
この脆弱性は、ネットワーク管理基盤の侵害につながる可能性があります。該当製品を運用している場合は、修正版への更新を優先してください。
また、不審な活動がないかWebアクセスログを確認することも重要です。侵害が疑われる場合は、修復作業の前に、可能な範囲でWebアクセスログ、アプリケーションログ、システムログ、データベースログを保全してください。
公式アドバイザリでは、設定変更だけで脆弱性を解消する方法は示されていません。該当する環境では、修正版の適用を基本的な対策としてください。
出典
まとめ
今回取り上げた脆弱性のうち、Collabora Online – Built-in CODE ServerとVeloCloud Orchestratorについては、実際の悪用が確認されています。該当製品を利用している場合は、修正版への更新を優先する必要があります。
PHPについては、10月21日に公開された重大な脆弱性の修正版と、10月23日に追加発表された別の脆弱性を区別して対応することが重要です。
GitLabについても、影響範囲が広いため、自己管理型サーバーを運用している場合はバージョンの確認が必要です。
脆弱性への対応では、製品名だけでなく、実際に利用しているバージョンや設定、修正の適用状況を確認することが重要です。
