2026年10月21日に公表されたPHPの緊急の脆弱性（CVE-2026-109618／CVE-2026-109619、通称PHP2Shell）について、IBMが製品ごとに声明やセキュリティ情報を出しています。この記事では、2026年10月25日（日本時間）時点で確認できたIBMの公式情報を、表で整理します。

IBM非公式の個人による記事です。脆弱性の情報は短い期間で更新されるので、対応を決めるときは記事末尾の公式情報を確認してください。IBM Planning Analytics（TM1）の利用者向けの読み解きは、記事末尾のリンク先（note）で詳しくまとめています。

IBMの製品別の対応（2026年10月25日時点）

製品	IBMの判断	対応	補足
API Connect（V12 On-Prem 12.1.0.0〜12.1.1.3、V10 On-Prem 10.0.8.0〜10.0.8.13）	影響あり（Developer Portal）	iFixを提供	適用できない場合はDeveloper Portalの無効化を推奨。WAFなどの効果は保証しないと明記
QRadar SIEM（7.6.0.0〜7.6.0.5、7.5.0〜7.5.0 UP16 IF02）	影響あり	修正版は未提供。ホットフィックスで緩和	10/23更新：HA構成のセカンダリーにも自動適用する版に更新
IBM Workload Scheduler（10.2.0〜10.2.8）	影響なし	―	Dynamic Workload ConsoleはJava／LibertyでPHPを実行していない。同梱の.phpは実行されないサンプル
IBM Cloud Internet Services（WAF）	―	10/21にルールを緊急追加、10/22にCVEを示す名前に更新	10/22の更新は名前と説明のみで、検知ロジックは不変
TM1／Planning Analytics／Cognos Analytics	声明なし（確認できず）	―	「影響なし」の確定ではない

あわせて、IBMのニュースサイトIBM Thinkが10月22日に、実際の攻撃が報告されていることを伝え、「すぐに修正し、修正できないものは隔離する」よう呼びかけています。

声明から読み取れるIBMの考え方

判定の軸は「PHPを実行しているか」：IWSは、.phpファイルがあっても実行していないので影響なし、と判断している
確実な暫定策は「止める・隔離する」：API ConnectはDeveloper Portalの無効化を、確実に推奨できる唯一の策としている
WAFは補助：外部の防御策の効果は、IBMとして保証していない
冗長化はすべてのホストを確認：QRadarでは、緩和策がHAのセカンダリーに当たっていなかった

Planning Analytics（TM1）の環境で確認すること

PA自体はPHPで動く製品ではなく、今回の2件についてPAを対象にしたIBMの声明も確認できません。確認するのは、PAの周りです。

PAのREST APIをAPI Connectで公開しているなら、Developer PortalへのiFixの適用
PAのサーバーのログをQRadarで監視しているなら、ホットフィックスの適用（HAはセカンダリーまで）
PAの周辺で動いている、IBM以外のPHPのシステム（社内ポータル、監視ツールなど）

なお、PHPとは別件で、PA自体の脆弱性（CVE-2026-19620、CVE-2026-85457など）がPlanning Analytics Workspace 2.1.24で修正されています。PHPの件で環境を見直すついでに、PAのバージョンも確認しておくのがおすすめです。

もっと詳しく

製品ごとの声明の詳細、PA利用者向けのチェックリスト、2.1.24の件との関係は、noteにまとめています。

PA本体と周辺システムを確認するコマンドは、前回のQiitaの記事で紹介しています。

公式情報