CISAは、既知の脆弱性カタログ（KEVカタログ）に新たに2つの脆弱性を追加し、PHPに関する注意喚起を更新しました。内容は以下の通りです。

CVE-2026-109618 – PHPのメモリ破壊脆弱性

CVE-2026-109619 – PHPの内部リクエスト状態の脆弱性

これらの種類の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府機関にとって重大なリスクとなります。

運用指示（BOD）26-04「リスクに基づいたセキュリティアップデートの優先順位付け」は、連邦政府の民間機関（FCEB機関）に対する脆弱性管理の要件を定めています。BOD 26-04は、KEVカタログの重要性を強調し、連邦政府機関に対し、CISAのKEVカタログに記載されている、特に、攻撃後にその資産の完全な制御を許すような、高リスクの脆弱性に対して、迅速な対応を優先することを求めています。一方、リスクの低い脆弱性については、対応を後回しにすることができます。BOD 26-04はまた、パッチが適用される前に、攻撃者がシステムを侵害したかどうかを機関が確認すべき基本的な要件を定めています。

BOD 26-04はFCEB機関にのみ適用されますが、CISAはすべての組織に対し、リスクに基づいた脆弱性管理を採用し、KEVカタログに記載されている脆弱性への対応を優先することを推奨しています。CISAは、特定の基準を満たす脆弱性をKEVカタログに追加し続ける予定です。

現在、KEVカタログに掲載されていないが、攻撃されている脆弱性の情報を把握していますか？ CISAのKEV候補追加フォームを通じて、その情報を提出してください。KEVカタログへの追加候補となる脆弱性は、CVE ID、攻撃の証拠、および明確な対策に関する情報が必要です。