【重要】PHPの脆弱性（PHP2Shell）による製品への影響と、修正版適用のお願い（SEPM・Carbon Black App Control・CloudSOC SpanVA・CASMA）

初回掲載日：2026年10月23日 14:00　／　最終更新日：2026年11月02日 13:30

平素よりシマンテック製品、カーボンブラック製品をご愛用いただき、誠にありがとうございます。

2026年10月21日、PHPに深刻な脆弱性（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）が公開されました。深刻度はCRITICAL（CVSS基本値 9.2）です。
Broadcom社の公開情報をもとに、Broadcom製品への影響と、お客様にお願いしたい対応をお知らせします。

※「注)ログインが必要」の印があるものは、Broadcomサポートポータルにログインしてからご利用ください。ログインには、Broadcomアカウントが必要です。

対応をお願いする製品

Symantec Endpoint Protection Manager（SEPM）

対象：修正ビルドを適用していないすべてのSEPM（14.3系・14.4系とも）

• 修正ビルドは、Broadcomサポートポータルからダウンロードしてください。注)ログインが必要
• 更新が必要なのは管理サーバー（SEPM）だけです。各端末のSEPクライアントは影響を受けないため、更新の必要はありません。
• 修正ビルドの中身は、PHPモジュールの更新だけです。機能の追加や不具合の修正は含まれていません。
• 適用にかかる時間は、環境によって異なりますが、おおむね20分です。適用後にOSを再起動する必要はありません。
• 14.3 RU10より前のバージョンからアップグレードする場合は、RU10までに追加・変更された機能や不具合の修正もあわせて適用されます。
• SEPMを止めたり、PHPモジュールだけを止めたりする回避策は用意されていません。修正ビルドを適用してください。

手順・関連資料

• Symantec Endpoint Protection (SEP) の最新リリースへのアップグレード
• Symantec Endpoint Protection Manager (SEPM) のシステム要件（適用前の確認用）

Carbon Black App Control Server

修正版のビルド8.12.2と8.13.2が公開されています。どちらもPHPに関する変更だけを含んでいます。

• 修正版は、Broadcomサポートポータルからダウンロードしてください。注)ログインが必要
• 各端末のCarbon Black App Control Agentは影響を受けないため、更新の必要はありません。
• 必ず "Upgrading the App Control Server" のKB記事にある内容に従って、更新してください。

手順・関連資料

• Upgrading the App Control Server（アップグレード手順・英語）
• App Control PHP2Shell Impact - CVE-2026-109618 and CVE-2026-109619（英語）

CloudSOC SpanVA Appliance

Broadcom社のアドバイザリ（2026年10月23日 米国時間）で、影響を受ける製品に追加されました。
対象のバージョンと対応方法は、下記のBroadcom社の個別アドバイザリをご確認ください。

• なお、CloudSOC Cloud Access Security Broker（CASB）本体は影響を受けません。

関連資料

• CloudSOC SpanVA Applianceのセキュリティアドバイザリ（英語）注)ログインが必要
  
  

Content Analysis and Malware Analysis（CASMA）

Broadcom社のアドバイザリ（2026年10月30日 米国時間）で、影響を受ける製品に追加されました。

• 修正版は、Broadcomサポートポータルからダウンロードしてください。注)ログインが必要
• Broadcom社によると、CASMAに影響する攻撃が実際に成立する事例は、現時点で確認されていません。
• 修正版の適用に加えて、Broadcom社は、管理系システムへのアクセスを権限のある利用者に限る、リモートアクセスを信頼できるシステムに限るなどの、リスクを下げる対策を推奨しています。
• なお、Content Analysis（CAS）単体は影響を受けません。影響を受けるのは、Malware Analysisを含むCASMAです。

関連資料

• Content Analysis and Malware Analysis Security Update for PHP2Shell（英語）注)ログインが必要

影響を受けない主な製品

次の製品は影響を受けないため、対応の必要はありません。

Symantec Endpoint Protection（SEP）クライアント／SEP for Mobile／Symantec Endpoint Security（SES）／Endpoint Security Agent（ESA）／LiveUpdate Administrator（LUA）／Symantec Endpoint Detection and Response（EDR）On-premise／Data Loss Prevention（DLP）／Critical System Protection（CSP）／Data Center Security（DCS）／Cloud Secure Web Gateway（Cloud SWG）／CloudSOC Cloud Access Security Broker（CASB）／Content Analysis（CAS）※CASMAを除く／Symantec Protection Engine（SPE）Console／Carbon Black App Control Agent／Carbon Black Cloud／Carbon Black EDR／Symantec VIP／Ghost Solution Suite／Email Security.cloud

上記以外の製品の状況は、Broadcom社の公式情報でご確認ください。

公式情報（Broadcom社）

• 製品全体の状況：Enterprise Security Group Advisory for PHP2Shell
• SEPM：Symantec Endpoint Protection Security Update for PHP2Shell　注)ログインが必要
• Carbon Black App Control：Carbon Black App Control Security Advisory　注)ログインが必要
• CloudSOC SpanVA Appliance：CloudSOC SpanVA Applianceのセキュリティアドバイザリ　注)ログインが必要
• CASMA：Content Analysis and Malware Analysis Security Update for PHP2Shell　注)ログインが必要
• Symantec VIP、Ghost Solution Suite、Email Security.cloudなど（IMS製品）：IMS Advisory for PHP2shell Vulnerabilities CVE-2026-109618 & CVE-2026-109619

公式情報は随時更新されます。最新の内容をご確認ください。

よくあるご質問（FAQ）

これまでにお問い合わせの多かったご質問と回答をまとめました。主にSEPMに関するご質問です。

お問い合わせ

本件のお問い合わせは、Broadcomサポートポータルからサポートケースを起票してお送りください。注)ログインが必要
起票の方法は「Step3．ケース申請方法」をご参照ください。その際、次の内容を書き添えていただくと、スムーズにご案内できます。

• 製品名とバージョン
• お使いのOS
• お問い合わせの内容

なお、各製品がPHPをどのように使っているかなど、製品の内部仕様についてはお答えできません。あらかじめご了承ください。

今後もBroadcom社から新しい情報が出しだい、この記事でお知らせします。

更新履歴