- 概要
2026年10月21日に、PHPの開発元から、PHPの脆弱性2件（CVE-2026-109618、CVE-2026-109619）が公表されました。
弊社製品のうち、Web管理画面またはREST APIにPHPを使用している製品が、本脆弱性の影響を受けます。
本脆弱性は、ログインなどの認証を経ることなく、ネットワーク経由で攻撃を受けるおそれがあるものです。
対象製品をお使いのお客様におかれましては、修正版のシステムソフトウェアをご提供するまでの間、下記の資料をご参照の上、回避策の設定をお願いいたします。 - 脆弱性の内容
・CVE-2026-109618：PHPがメモリー不足を処理する際の不具合（CVSS v3.1：9.8（緊急）、CVSS v4.0：9.2）
・CVE-2026-109619：PHPが前のリクエストで解放したメモリーを、次のリクエストの処理で誤って使用する不具合（CVSS v3.1：9.8（緊急）、CVSS v4.0：9.2）
いずれも、攻撃者が本装置のWeb管理画面またはREST APIに通信できる場合、細工したリクエストによって本装置内で任意のコードを実行されるおそれがあります。 - 影響を受ける条件
以下の条件をすべて満たす場合に、本脆弱性の影響を受けます。
・下記の「該当製品」に記載の製品を、対象のシステムソフトウェアで使用している
・HTTPサーバーまたはHTTPSサーバー（Web管理画面、REST API）を有効にしている
・攻撃者が本装置のHTTPサーバーまたはHTTPSサーバーに通信できる
本脆弱性は、Web管理画面やREST APIがログインの認証を行う前の処理で発生します。
そのため、ユーザーのパスワードを変更しても、本脆弱性による攻撃を防ぐことはできません。 - 該当製品と対象のシステムソフトウェア
・TS-2560シリーズ すべてのバージョン（Web管理画面）
・TS-2220シリーズ すべてのバージョン（Web管理画面）
・TS-2950シリーズ すべてのバージョン（Web管理画面）
・TS-1550 すべてのバージョン（Web管理画面）
・NS-2260シリーズ すべてのバージョン（REST API）
・NS-2250シリーズ Version 3.0〜Version 3.3（REST API）
いずれの製品も、工場出荷時の設定では、HTTPサーバー、HTTPSサーバー（Web管理画面、REST API）は無効になっています。
そのため、本脆弱性の影響を受けるのは、お客様がこれらを有効にして使用している場合に限られます。
なお、有効にしている場合でも接続元を限定していないと、すべての接続元からWeb管理画面やREST APIに通信できる状態となりますので、ご注意ください。 - 影響を受けない製品
・TS-291xシリーズ、TS-292xシリーズ Web管理画面を持っていません
・TD-450、TD-210 PHPを使用していません
・NS-2250シリーズ Version 2.2以前 PHPを使用していません（REST APIはVersion 3.0で追加した機能です）
・NS-2236 PHPを使用していません
・SmartJumper PHPを使用していません
TS-2335シリーズは現在調査中です。結果は判明次第お知らせいたします。 - サポート終了製品
・TS-2550シリーズ 対象（Web管理画面）。回避策の設定をお願いいたします。設定方法はTS-2950シリーズと同じです。
・TS-2850シリーズ 対象（Web管理画面）。回避策の設定をお願いいたします。設定方法はTS-2950シリーズと同じです。
・TS-2210シリーズ 対象外（Web管理画面にPHPを使用していません）
・NS-2240シリーズ 対象外 - 回避策
回避策と、製品ごとの設定方法は、以下の資料をご参照ください。
・PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関するお知らせ（PDF） - 弊社の対応
弊社では、本脆弱性を修正したシステムソフトウェアのご提供に向けて対応を進めております。
ご提供の時期は、決まり次第お知らせいたします。 - 関連情報
NVD：CVE-2026-109618
NVD：CVE-2026-109619
PHPの開発元のセキュリティー情報 - お問合せ先
タイムサーバー（型番がTSで始まる製品）、TD-450、TD-210 time.ce@seiko-sol.co.jp
コンソールサーバー（型番がNSで始まる製品）、SmartJumper ns-support@seiko-sol.co.jp
