PHPの脆弱性（PHP2Shell）について｜PMS Proに影響はありません

株式会社ティラミス（本社：東京都中央区銀座1-22-11 2F／代表取締役：金鍵煕）は、2026年10月21日に公表されたPHPの脆弱性（通称「PHP2Shell」、識別番号はCVE-2026-109618とCVE-2026-109619）について調査しました。弊社が提供する配布管理システム「PMS Pro」は、本脆弱性の影響を受けないため、お客様側で必要なご対応はございません。

公表された脆弱性の内容

2026年10月21日、PHPの開発元から2件の脆弱性が公表され、あわせて修正版が公開されました。認証を受けていない第三者が、Webサーバー上で任意のプログラムを実行できる可能性があります。深刻度はCVSS v4で9.2（Critical）と評価されました。

項目	内容
通称	PHP2Shell
識別番号	CVE-2026-109618／CVE-2026-109619
公表日	2026年10月21日
深刻度	CVSS v4：9.2（Critical）
対象	PHP 5.4 〜 8.5.11。Webリクエストを処理しているPHPはすべて該当
修正版	PHP 8.5.12／8.4.27／8.3.36／8.2.35

PMS Proへの影響

PMS ProはPHPを使用していないため、影響はありません。2026年10月22日時点で、以下の事実を確認しております。

PMS Proシステム本体はNext.js（Node.js）で構築しています。ソースコードにPHPのファイルは1つもなく、PHP関連のライブラリも使用していません
本番サーバーにPHPはインストールされていません。稼働しているのはNode.jsとnginxです
nginxの設定にも、PHPへ処理を渡す記述はありません

今回の脆弱性はPHPそのものの問題のため、PHPが動いていないPMS Proの環境では、影響はございません。