PAN-OSの脆弱性CVE-2026-109618が悪用中に｜直ったバージョンの一覧と、修正を待つあいだの管理画面の制限

2026年10月28日

PAN-OSの管理画面の脆弱性CVE-2026-109618。直ったバージョンに上げるか、管理画面に入れる相手を絞る。まず、CLIの show system info で sw-version を見て、今のバージョンを確かめる。直ったバージョンが出ている系列は、すぐに上げる。予定日がまだ先なら、それまで管理画面に入れる相手を、信頼できる内部のIPアドレスだけに絞る。Threat Preventionを契約していれば、勧告に載っているThreat IDを有効にすると攻撃を防げるが、そのための準備が要る。GlobalProtectだけを使っていても、同じファイアウォールの管理画面は対象なので、PAN-OSのバージョンを上げる。PA-Series・VM-Series・Panoramaの管理者へ

PA-SeriesやVM-SeriesのファイアウォールやPanoramaを管理していて、PAN-OSの脆弱性CVE-2026-109618の修正がもう出たのか、まだならそれまで何をすればいいかを知りたい人は、まず下の表で自分のバージョンを確認してください。Palo Alto Networksは10月27日の更新で、深刻度をCritical、緊急度をいちばん高いHighestに引き上げました。勧告では、インターネットに公開された管理画面を狙う悪用が確認されています。

直ったバージョンが出ている系列は、すぐに上げてください。予定日がまだ先の系列は、それまで管理画面に入れる相手を、信頼できる内部のIPアドレスだけに絞ってください。

2026年10月28日8時27分（日本時間）時点の、Palo Alto Networksの勧告の内容です。勧告は今も更新が続いています。
CVE-2026-109618とCVE-2026-109619は、PHPの脆弱性です。Palo Alto Networksは、この2件がPAN-OSの管理画面に影響するとしています。
対象はPAN-OSの管理画面（HTTPSのWeb UIとXML API）だけです。GlobalProtectのポータルとゲートウェイ、Clientless VPN、Captive Portalは対象外です。

結論：今のバージョンと上げる先

「今のバージョン」の-h*は、そのバージョンのすべてのホットフィックスを表します。上げる先は、表のバージョンか、それより新しいものにしてください。どの行も、同じ系列のいちばん新しい修正バージョンに上げる方法もあります。

PAN-OS 12.2・12.1

今のバージョン	上げる先（公開の状況）
12.2.0〜12.2.4-h*	12.2.4-h1（公開済み）
12.1.8〜12.1.10-h*	12.1.10-h3（10月30日の予定）
12.1.5〜12.1.7-h*	12.1.7-h11（公開済み）
12.1.2〜12.1.4-h*	12.1.4-h13（10月29日の予定）

PAN-OS 11.2

今のバージョン	上げる先（公開の状況）
11.2.14〜11.2.16-h*	11.2.16-h1（10月28日の予定）
11.2.11〜11.2.13-h*	11.2.13-h4（10月27日の予定。まだ予定のまま）
11.2.8〜11.2.10-h*	11.2.10-h16（公開済み）
11.2.5〜11.2.7-h*	11.2.7-h23（10月29日の予定）
11.2.0〜11.2.4-h*	11.2.4-h23（10月30日の予定）

PAN-OS 11.1

今のバージョン	上げる先（公開の状況）
11.1.14〜11.1.16-h*	11.1.16-h4（公開済み）
11.1.11〜11.1.13-h*	11.1.13-h16（公開済み）
11.1.8〜11.1.10-h*	11.1.10-h36（公開済み）
11.1.7〜11.1.7-h*	11.1.7-h12（10月30日の予定）
11.1.5〜11.1.6-h*	11.1.6-h40（公開済み）
11.1.0〜11.1.4-h*	11.1.4-h38（公開済み）

PAN-OS 10.2

今のバージョン	上げる先（公開の状況）
10.2.17〜10.2.18-h*	10.2.18-h13（公開済み）
10.2.14〜10.2.16-h*	10.2.16-h12（公開済み）
10.2.11〜10.2.13-h*	10.2.13-h27（公開済み）
10.2.8〜10.2.10-h*	10.2.10-h42（10月29日の予定）
10.2.0〜10.2.7-h*	10.2.7-h39（10月30日の予定）

予定日は勧告に書かれた日付で、タイムゾーンは書かれていません。
同じ系列のいちばん新しい修正バージョンは、12.1が12.1.10-h3、11.2が11.2.16-h1、11.1が11.1.16-h4、10.2が10.2.18-h13です。このうち12.1.10-h3（10月30日の予定）と11.2.16-h1（10月28日の予定）は、まだ公開されていません。
サポートが終わった古いバージョンは、サポート中の直ったバージョンに上げてください。
11.2.10-h16には、PHPの脆弱性の修正だけが入っています。Node.jsが使うBrotliの脆弱性もまとめて直すなら、11.2.10-h17に上げてください。ほかの修正バージョンには、両方の修正が入っています。

今のバージョンを確かめる

show system info

PAN-OSのCLIに入って実行し、sw-versionの行を見てください。この値が今のPAN-OSのバージョンです。

CVE-2026-109618とは

PHPがメモリ不足のエラーを扱う処理の不具合で、細工したリクエストによって任意のコードを実行されるおそれがあります。CVE-2026-109619も同じ種類の問題です。自分のサーバーでPHPを動かしている場合は、PHPの修正バージョンの記事でPHPの上げる先を確認してください。

項目	内容
対象の製品	PA-SeriesとVM-SeriesのPAN-OS、Panorama。Panoramaは仮想アプライアンスとM-Seriesの両方
対象の場所	管理画面（HTTPSのWeb UIとXML API）。データプレーンのインターフェースは、管理プロファイルを付けたときだけ対象
攻撃の条件	特別な設定は要らない。認証なしで、ネットワーク経由で攻撃される
深刻度	Critical（CVSS-BT 9.2、CVSS v4.0）。管理画面に入れる端末を踏み台サーバー1台に絞ると、Medium（CVSS-BT 5.2）
悪用	インターネットに公開された管理画面を狙う攻撃を確認
分類	CWE-754（例外的な状態の確認が不十分）

PHPが同じ時期に発表したCVE-2026-115560は、今の分析ではPAN-OS（NGFWとPanorama）に影響しないと書かれています。PAN-OSが使っていない、珍しい設定にかかわる問題のためです。

対象外の製品

勧告では、次の製品は対象外です。

Cloud NGFW、Prisma Access、Prisma Access Agent
GlobalProtectアプリ
Cortex XDR Agent、Cortex XSIAM、Cortex XSOAR
Strata Cloud Manager
WildFire Appliance（WF-500・WF-500-B）

Cortex XCORE（SaaS）とWildFire Cloudは、以前は対象でしたが、10月21日と22日にそれぞれ修正が当てられ、今は対象外です。

修正を待つあいだにやること

管理画面に入れるIPアドレスを絞る

Palo Alto Networksは、管理画面に入れる相手を信頼できる内部のIPアドレスだけにすると、危険を最小限にできるとしています。インターネットから管理画面に届く状態なら、まずそこを閉じてください。設定の考え方は、Palo Alto Networksの管理画面への接続を守るためのガイドで確認してください。

Threat Preventionで攻撃を防ぐ

Threat Preventionを契約している場合は、Threat IDの543004と、勧告に載っている97622から97678までの番号（続き番号ではなく、勧告に並んでいる24個）を有効にすると、攻撃を防げます。Applications and Threatsのコンテンツのバージョンが9162・9163・9164以降で入っています。ただし、次の準備がすべて要ります。

管理ポート（MGT）への通信を、データプレーンのポートを通るようにする（データプレーンのインターフェースに管理プロファイルを付けるなど）
管理画面への通信の証明書を置き換える
管理画面への通信を復号して、ファイアウォールが中身を検査できるようにする
管理画面への通信に、脅威防御を有効にする

ATP Plusの「Frontier Virtual Patching」を使っていて、PAN-OSが12.2.4以降なら、Threat ID 543004はすでに届いています。届いたのは10月20日午後10時21分（米国太平洋時間）、日本時間では10月21日14時21分です。

よくある質問

GlobalProtectだけ使っていても対象ですか？

GlobalProtectのポータルとゲートウェイ、Clientless VPNは対象外です。ただし、同じファイアウォールの管理画面は対象なので、PAN-OSのバージョンは上げてください。

Brotliの脆弱性のために、もう一度上げる必要はありますか？

同じホットフィックスで、PHPとBrotliの両方が直ります。11.2.10-h16だけはPHPの修正しか入っていないので、11.2.10-h17に上げてください。

Synology NASも同じ脆弱性ですか？

同じCVE-2026-109618とCVE-2026-109619が、Synologyの勧告にも載っています。Synology NASを使っている場合は、Synology NASのPHP2Shellの記事で対象のパッケージを確認してください。

公式の発表

2026年10月28日8時27分（日本時間）時点の公式の発表の内容です。

よかったらシェアしてね！

URLをコピーしました！

URLをコピーしました！

この記事を書いた人

てとら

社内エンジニアとして、SREとセキュリティの仕事をしています。サーバーの構築や運用、クラウド環境の設計にも関わってきました。趣味はゲームと漫画・アニメ。

PAN-OSの脆弱性CVE-2026-109618が悪用中に｜直ったバージョンの一覧と、修正を待つあいだの管理画面の制限