平素より「WafCharm」をご利用いただき、誠にありがとうございます。

PHPに影響する重大な脆弱性（CVE-2026-109618、CVE-2026-109619）について発表がありました。本脆弱性は、2件ともCVSS v4.0スコア9.2（Critical）と評価されております。

当サービスをご利用中のお客様へ注意喚起とWafCharmでの対応についてご案内いたします。

該当のPHPをご使用のお客様においては、PHP公式サポート情報に従った対応策の実施を強く推奨いたします。そのため、公式サポートの最新情報のご確認をお願いします。

<WafCharmでの対応状況>

■AWS WAF v2（Legacyルールポリシー）
本脆弱性を悪用した攻撃のリスクを緩和するため、対策ルールをリリースし、対象となるWAF Configへ順次適用を行いました。
本ルールについては、脆弱性の危険性や緊急性、正常な通信への影響などを総合的に判断し、遮断（BLOCK）モードで適用しております。
適用エラーが発生しているWAF Configについては、権限エラーが発生していないかご確認いただき、ご利用のWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

■AWS WAF v2（Advancedルールポリシー）
本脆弱性を悪用した攻撃のリスクを緩和するため、対策ルールをリリースし、対象となるWAF Configへ順次適用を行いました。
本ルールについては、脆弱性の危険性や緊急性、正常な通信への影響などを総合的に判断し、遮断（BLOCK）モードで適用しております。
適用エラーが発生しているWAF Configについては、Priorityの衝突や権限エラーが発生していないかご確認いただき、Priorityまたは権限を調整後に再適用することで最新のルールの適用が完了します。
なお、WAF Configの設定で「正規表現ルールを自動更新しない」を有効にされている場合は、今回の対策ルールは自動適用されておりません。
該当するWAF Configへの適用をご希望の場合は、正規表現ルールの更新またはカスタマイズによる対応が必要となりますので、ご利用のWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

■Azure
本脆弱性を悪用した攻撃のリスクを緩和するため、対策ルールをリリースし、対象となるWAF Configへの適用を完了いたしました。
本ルールについては、脆弱性の危険性や緊急性、正常な通信への影響などを総合的に判断し、遮断（BLOCK）モードで適用しております。

■Google Cloud
本脆弱性に対するGoogle Cloud Armorでの対応状況については、現在確認を進めております。
Google Cloud Armor のルール更新状況も併せてご確認ください。

<補足事項>
今回適用したルールは、本脆弱性を悪用した攻撃のリスクを緩和するための初期対応となります。引き続き調査を進め、必要に応じて追加の対策やルールの更新を検討してまいります。
また、WAFによる対策は攻撃リスクを緩和するための補完的な対策であり、すべての攻撃を防ぐものではなく、脆弱性そのものを修正するものでもありません。
PHPをご利用のお客様におかれましては、ご利用環境におけるPHPの使用状況や影響の有無をご確認いただき、修正版への速やかなアップデートをお願いいたします。
なお、本脆弱性への対応とは別に、セキュリティ対策の一環として、WAFの検査可能なBodyサイズを超過するリクエストへの対策状況についてもご確認ください。WafCharmのAWS Advanced Ruleポリシーをご利用のお客様には、Bodyサイズ超過リクエストを検知・遮断するためのルールをCountモードで自動適用しておりますので、正常な通信への影響をご確認のうえ、必要に応じてBlockモードへの切り替えをご検討ください。

<参考情報>
・PHP公式:https://www.php.net/index.php#2026-10-21-5

ご不明な点がございましたら、WafCharmサポート窓口までお問い合わせください。
（WafCharmの管理画面にログインした後、ヘッダーのメニューの「Contact」からご連絡ください。）