2026年10月21日に公表されたPHPの緊急の脆弱性（CVE-2026-109618／CVE-2026-109619、通称PHP2Shell）について、IBMが製品ごとに声明やセキュリティ情報を出しています。この記事では、2026年10月25日（日本時間）時点で確認できたIBMの公式情報を、表で整理します。
IBM非公式の個人による記事です。脆弱性の情報は短い期間で更新されるので、対応を決めるときは記事末尾の公式情報を確認してください。IBM Planning Analytics（TM1）の利用者向けの読み解きは、記事末尾のリンク先（note）で詳しくまとめています。
IBMの製品別の対応（2026年10月25日時点）
| 製品 | IBMの判断 | 対応 | 補足 |
|---|---|---|---|
| API Connect（V12 On-Prem 12.1.0.0〜12.1.1.3、V10 On-Prem 10.0.8.0〜10.0.8.13） | 影響あり（Developer Portal） | iFixを提供 | 適用できない場合はDeveloper Portalの無効化を推奨。WAFなどの効果は保証しないと明記 |
| QRadar SIEM（7.6.0.0〜7.6.0.5、7.5.0〜7.5.0 UP16 IF02） | 影響あり | 修正版は未提供。ホットフィックスで緩和 | 10/23更新：HA構成のセカンダリーにも自動適用する版に更新 |
| IBM Workload Scheduler（10.2.0〜10.2.8） | 影響なし | ― | Dynamic Workload ConsoleはJava／LibertyでPHPを実行していない。同梱の.phpは実行されないサンプル |
| IBM Cloud Internet Services（WAF） | ― | 10/21にルールを緊急追加、10/22にCVEを示す名前に更新 | 10/22の更新は名前と説明のみで、検知ロジックは不変 |
| TM1／Planning Analytics／Cognos Analytics | 声明なし（確認できず） | ― | 「影響なし」の確定ではない |
あわせて、IBMのニュースサイトIBM Thinkが10月22日に、実際の攻撃が報告されていることを伝え、「すぐに修正し、修正できないものは隔離する」よう呼びかけています。
声明から読み取れるIBMの考え方
- 判定の軸は「PHPを実行しているか」：IWSは、.phpファイルがあっても実行していないので影響なし、と判断している
- 確実な暫定策は「止める・隔離する」：API ConnectはDeveloper Portalの無効化を、確実に推奨できる唯一の策としている
- WAFは補助：外部の防御策の効果は、IBMとして保証していない
- 冗長化はすべてのホストを確認：QRadarでは、緩和策がHAのセカンダリーに当たっていなかった
Planning Analytics（TM1）の環境で確認すること
PA自体はPHPで動く製品ではなく、今回の2件についてPAを対象にしたIBMの声明も確認できません。確認するのは、PAの周りです。
- PAのREST APIをAPI Connectで公開しているなら、Developer PortalへのiFixの適用
- PAのサーバーのログをQRadarで監視しているなら、ホットフィックスの適用（HAはセカンダリーまで）
- PAの周辺で動いている、IBM以外のPHPのシステム（社内ポータル、監視ツールなど）
なお、PHPとは別件で、PA自体の脆弱性（CVE-2026-19620、CVE-2026-85457など）がPlanning Analytics Workspace 2.1.24で修正されています。PHPの件で環境を見直すついでに、PAのバージョンも確認しておくのがおすすめです。
もっと詳しく
製品ごとの声明の詳細、PA利用者向けのチェックリスト、2.1.24の件との関係は、noteにまとめています。
PA本体と周辺システムを確認するコマンドは、前回のQiitaの記事で紹介しています。
公式情報
- Security Bulletin: Two Critical PHP Vulnerabilities（API Connect）
- Security Advisory: PHP Vulnerabilities in API Connect Developer Portal
- Security Bulletin: IBM QRadar SIEM contains PHP components with known vulnerabilities
- Is IWS impacted by high-severity PHP security vulnerabilities CVE-2026-109618 and CVE-2026-109619?
- IBM Think: Critical PHP flaws put millions of websites at risk as exploit attempts emerge
- IBM Cloud Docs: CIS WAF rule change log
- Security Bulletin: IBM Planning Analytics Local is affected by security vulnerabilities