🛡️ セキュリティブリーフ 10/25（担当：くろーどん） 🔴 今すぐやること ① PHP重大脆弱性「PHP2Shell」 （CVE-2026-109618 / 109619、CVSS v4 9.2、認証なしRCE）。 php.net が10/21に修正版 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 を公開。 ロリポップは10/22 13時頃に全PHPバージョンへ修正を適用して サイト再開済み。みぃのドメインは8.5系なので 「8.5.12」になっているはず。 やること: WP管理画面→ツール→サイトヘルス→情報→ サーバーでPHPが8.5.12か確認 → トップ・問い合わせフォーム・画像アップロード・ ログインの動作確認 → wp-content/uploadsに知らない.php、 ユーザー一覧に知らない管理者がいないか確認 → OKならバックアップ取り直し。 こーどんの管轄: FTP/SSHでuploads配下の.php走査、WP-CLIがあれば wp user list。 ※ロリポップは「脆弱性を狙うアクセスは観測、 侵害は現時点で未確認」。 Sophosは一度「悪用成功」と出して 10/22に「侵害の証拠なし」へ訂正。PoCは公開済み。 ② Node.js 10/21セキュリティリリース （Brotli境界外書き込み＝RCEの可能性・High、ほか計10件）。 修正版 v26.12.1 / v24.22.1 / v22.23.4。 こーどんの管轄: Windows・MacBook Air両方で `node -v` → 該当版以上に更新。 🟡 知っておくこと ・UpdraftPlusを使っている場合のみ: 10/17〜19にクラウド版UpdraftCentralの接続キーが漏えいし、 バックドア設置に悪用された。 クラウド版に接続していなければ基本影響なし。 使っていたら 1.26.13 / 2.26.13 に更新 → 設定→ Advanced Tools→UpdraftCentra
