【重要】PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の Account@Adapter+ / Account@Adapter+ V7 への影響について（第一報 修正版）
- お知らせ
2026.10.22
平素より、Adapter製品をご愛顧いただき、誠にありがとうございます。
このたび、PHPにおいて「CVE-2026-109618」および「CVE-2026-109619」の脆弱性が公表されました。
---- 記 ----
■ 影響の有無
Account@Adapter+ / Account@Adapter+ V7 は、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の影響を受けます。
■ 影響を受けるバージョン
Account@Adapter+ Ver.6系すべて
Account@Adapter+ V7 Ver.7系すべて
■ 脆弱性の内容
攻撃者により細工されたHTTP Requestが Account@Adapter+ / Account@Adapter+ V7 に送信されることで、製品のサービス停止が引き起こされたり、製品上で任意のコードが実行されたりするおそれがございます。
■ 対策
応急対策として、以下の対応をお願いいたします。
- WebUI設定画面において、管理ツール、ユーザーツールへ接続可能なIPアドレスを、信頼できる範囲のみに制限する。
※ユーザーツールを使用していない場合でも、管理ツール、ユーザーツール、両方へ接続可能なIPアドレスを、
信頼できる範囲のみに制限してください。
WebUI設定画面の詳細については、各バージョンの取扱説明書(管理ツール)「3.6.3 WebUI 設定」に記載がございますので、
取扱説明書をご参照ください。
- 何らかの理由により信頼できる範囲への制限が困難な場合（例：管理ツールは制限できるが、ユーザーツールは制限できない等）は、
信頼できる範囲外からのアクセスに対し、WAF等により以下の対策を実施する。
1)8KB（8,192バイト）を超えるHTTP Request Bodyを含むリクエストをブロックする。
（CVE-2026-109618対策）2)HTTP Request Bodyに「PHP_SESSION_UPLOAD_PROGRESS」が含まれるHTTP POST Requestをブロックする。
（CVE-2026-109619対策）3)HTTP Request BodyまたはCookieのいずれかに「PHPSESSID」が含まれるHTTP POST Requestをブロックする。
（CVE-2026-109619対策）
なお、WAF等の導入方法や設定方法については、Account@Adapter+ / Account@Adapter+ V7 の技術サポート窓口ではご案内いたしかねますことをご承知おきください。
恒久対策については現在検討中です。
対応方針が決定次第、当社ホームページにてご案内いたします。
≫ https://www.hcnet.co.jp/news/update/
