PHPの重大な脆弱性（CVE-2026-109618／CVE-2026-109619）におけるZabbixサーバーへの影響と対応

こんにちは、SCSKの坂木です。

2026年10月21日、PHPにおいて、認証されていない外部の攻撃者によるリモートコード実行につながる可能性がある2件の重大な脆弱性、CVE-2026-109618およびCVE-2026-109619が公開されました。

いずれもCVSS v4.0で「9.2（Critical）」と評価されており、PHP-FPMなど、PHPでWebリクエストを処理する環境が影響を受けます。修正版としてPHP 8.2.35、8.3.36、8.4.27、8.5.12が公開されています。

ZabbixのWebインターフェースはPHP上で動作するため、Zabbixサーバーについても確認と対応が必要です。
※本記事は、自前で構築したZabbixサーバーを対象としています。Zabbix Enterprise Applianceなどのアプライアンス製品は対象外です。

脆弱性の概要
Zabbixサーバーへの影響
対象バージョン
使用しているPHPのバージョン確認
恒久的な対応方法
一時的な対応方法
まとめ

脆弱性の概要

CVE-2026-109618

PHPでメモリ不足が発生した際の処理に起因する脆弱性です。
メモリ不足が発生したときに、一部の内部処理で後始末が適切に行われない場合があり、その結果としてメモリ破損が発生する可能性があります。
悪用された場合、認証されていない外部の攻撃者によって、PHPが動作するサーバー上で任意のコードを実行されるおそれがあります。

CVE-2026-109619

PHPワーカープロセス内に、前のリクエストで使用した内部状態が残留することに起因する脆弱性です。
リクエストの処理が終わった後も内部状態が適切にリセットされない場合があり、解放済みのメモリが参照される可能性があります。
悪用された場合、情報漏えいやリモートコード実行につながるおそれがあります。

Zabbixサーバーへの影響

ZabbixのWebインターフェースはPHP上で動作しています。

そのため、Zabbixのバージョンにかかわらず、使用しているPHPが本脆弱性の影響を受ける場合は、Zabbix Webインターフェースも影響を受ける可能性があります。

今回の脆弱性はPHP本体に起因するため、Zabbix Serverを更新するのではなく、PHPの提供元またはOSベンダーが提供する修正済みパッケージを適用する必要があります。

対象バージョン

PHP 8.2から8.5までの修正版は次のとおりです。

PHP系列	影響を受けるバージョン	修正版
PHP 8.2	8.2.35未満	8.2.35
PHP 8.3	8.3.36未満	8.3.36
PHP 8.4	8.4.27未満	8.4.27
PHP 8.5	8.5.12未満	8.5.12

PHP 8.2から8.5の各系列では、上記の修正版より前のバージョンが影響を受けます。
PHP 8.1以前を使用している場合や、OS標準パッケージを使用している場合は、PHPの表示バージョンだけで判断せず、OSベンダーやPHPパッケージの提供元が公開するセキュリティ情報を確認してください。

使用しているPHPのバージョン確認

PHPのバージョンは、次のコマンドで確認できます。

# php -v

PHP-FPMを使用している場合は、次のコマンドでも確認できます。

# php-fpm -v

PHPの導入方法によっては、phpコマンドがインストールされていない場合があります。また、php -vで表示されるPHPと、Zabbix Webインターフェースが使用しているPHP-FPMのバージョンが異なる場合があります。PHP-FPMを使用している環境では、php-fpm -vやOSのパッケージ管理コマンドも併せて確認してください。

恒久的な対応方法

本脆弱性への根本的な対応は、PHP提供元またはOSベンダーが提供する修正済みパッケージの適用です。

具体的な更新方法は、使用しているOS、PHPのバージョン、パッケージのインストール元およびリポジトリによって異なります。
利用している環境のセキュリティ情報を確認し、修正済みパッケージが提供されていることを確認したうえで対応してください。

パッケージを利用してPHPをインストールしている場合は、以下のようなコマンドで更新できます。
RHEL系OSの例

# dnf update '<PHP関連パッケージ名>'

Ubuntu系OSの例

# apt update
# apt install --only-upgrade '<PHP関連パッケージ名>'

上記はコマンド例です。実際のパッケージ名や更新方法は環境によって異なります。OSベンダーまたはパッケージ提供元の案内を確認してください。
本番環境への適用前に検証環境で更新を行い、設定ファイルに意図しない変更がないことと、Zabbixの画面表示やAPI連携が正常に動作することを確認してください。
また、OSベンダーによって脆弱性の修正が既存バージョンへバックポートされる場合があります。
そのため、PHPのバージョン番号だけではなく、パッケージのリリース番号やOSベンダーのセキュリティ情報も併せて確認してください。