【重要】PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の OneID@Adapter への影響について（第一報）
- お知らせ
2026.10.22
平素より、Adapter製品をご愛顧いただき、誠にありがとうございます。
このたび、PHPにおいて「CVE-2026-109618」および「CVE-2026-109619」の脆弱性が公表されました。
---- 記 ----
■ 影響の有無
OneID@Adapter は、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の影響を受けます。
■ 影響を受けるバージョン
OneID@Adapter Ver.2系すべて
■ 脆弱性の内容
攻撃者が細工したHTTP Requestを OneID@Adapter に送信することで、
製品のサービス停止を引き起こされたり、Adapter製品上で任意のコードを実行されたりするおそれがあります。
■ 対策
応急対策として、以下の対応をご実施ください。
- ネットワーク設定画面の接続IPアドレス制限設定(web)において、管理ツール、ユーザーツールへ接続可能なIPアドレスを、 信頼できる範囲のみに制限する。
- 何らかの理由により信頼できる範囲への制限が困難な場合（例：管理ツールは制限できるが、ユーザーツールは制限できない等）は、信頼できる範囲外からのアクセスに対し、WAF等により以下の対策を実施する。
1) 8KB（8,192バイト）を超えるHTTP Request Bodyを含むリクエストをブロックする。
（CVE-2026-109618対策）2) HTTP Request Bodyに「PHP_SESSION_UPLOAD_PROGRESS」が含まれるHTTP POST Requestをブロックする。
（CVE-2026-109619対策）3) HTTP Request BodyまたはCookieのいずれかに「PHPSESSID」が含まれるHTTP POST Requestをブロックする。
（CVE-2026-109619対策）
恒久対策については現在検討中です。
対応方針が決定次第、当社ホームページにてご案内いたします。
≫ https://www.hcnet.co.jp/news/update/
