最近のセキュリティ インシデントへの対応: PHP の CVE-2026-109618/CVE-2026-109619 と eMudhra の中間 CA 証明書の侵害

今週、2 つの重大なセキュリティ インシデントが発表されました。PHP 本体の 2 つの脆弱性と、eMudhra の中間 CA 証明書の侵害です。本記事では、これらが当社の Web サイトと EmEditor に与えた影響、当社が実施した対応、およびお客様にお勧めする対応についてご説明します。

概要

• 当社の Web サイトは PHP の脆弱性の影響を受けません。 当社の WordPress サイトが動作している PHP には、すでにパッチを適用済みです。また、当社は静的ページのみを公開しています。
• EmEditor v22.3 から v26.3 までは、eMudhra の中間 CA 証明書の侵害 (eMudhra Intermediate CA Compromise) の影響を受けます。 原因は、言語サーバー プロトコル (LSP) 機能のために同梱している Node.js です。影響を受ける部分は、これだけでした。
• EmEditor を最新版 (現在は v26.4.0) に更新してください。 最新版には、この問題を修正した Node.js v26.12.1 が含まれています。

1. PHP の脆弱性 CVE-2026-109618 と CVE-2026-109619

2026 年 10 月 21 日、PHP プロジェクトは、PHP 本体の 2 つの重大な脆弱性 を発表しました。CVE-2026-109618 (メモリ不足時の破損によるリモート コード実行) と CVE-2026-109619 (古いグローバル状態によるリモート コード実行) です。どちらも、Web リクエストを処理する PHP 環境で、認証なしのリモート コード実行を許す可能性があります。

当社の Web サイトは、PHP 上で動作する WordPress で作成しています。当社の Web サイトは、次の 3 つの方法で保護されています。

• 当社の WordPress サイトの PHP には、CVE-2026-109618 と CVE-2026-109619 に対する最新のパッチをすでに適用済みです。
• 当社の WordPress サイトは静的ページにエクスポートし、その静的ページのみを公開しています。公開している Web サイトでは、PHP は動作していません。
• エクスポート元の WordPress サイトは、当社のオフィスを除くすべての IP アドレスからのアクセスをブロックしています。

エムソフト カスタマー センター およびその他の当社サイトは PHP を使用しておらず、影響を受けません。

2. eMudhra の中間 CA 証明書の侵害 (eMudhra Intermediate CA Compromise)

2026 年 10 月 20 日、eMudhra の中間 CA 証明書の侵害 (eMudhra Intermediate CA Compromise) が公表されました。eMudhra の 8 つの中間 CA 証明書の秘密鍵が侵害されました。これらの中間 CA は、主要な OS と Web ブラウザーが信頼するルート証明書につながっているため、いずれかの秘密鍵を入手した攻撃者は、これらをまだ信頼しているクライアントに対して、あらゆる Web サイトやサービスになりすますことができます。これらの中間 CA 証明書はすでに失効していますが、失効を確認しないクライアントにはソフトウェアの更新が必要です。

2-1. EmEditor で影響を受けた部分

EmEditor は、言語サーバー プロトコル (LSP) 機能のために Node.js を使用しており、Node.js がこのインシデントの影響を受けました。v22.3 (2023 年 4 月 11 日公開) から v26.3 (2026 年 10 月 7 日公開) までに公開したすべてのバージョンの EmEditor には Node.js が含まれており、影響を受けます。これは、Pro 版と Free 版、64 ビット版と 32 ビット版のいずれにも当てはまります。

EmEditor v26.4 では、この問題に対応した v26.12.1 に Node.js を更新しました。

2-2. EmEditor のその他の部分は影響を受けません

EmEditor のソース コード全体のセキュリティ スキャンを実施した結果、影響を受ける部分は LSP だけでした。Windows が最新の状態に更新されていれば、EmEditor のその他の部分に脆弱性はありません。

• EmEditor は、独自の CA 証明書を同梱せず、Windows の CA 証明書を使用します。このため、Microsoft が Windows を通じてすでに配信した失効情報が適用されます。
• WebPreview プラグインと ChatAI プラグインは、PC にインストールされている Microsoft Edge を使用します。
• 当社の TLS 証明書とコード署名証明書は、いずれも eMudhra が発行したものではありません。EmEditor のデジタル署名と当社の Web サイトの証明書は影響を受けません。

3. お勧めする対応

• EmEditor を最新版 (現在は v26.4.0) に更新してください。 従来の MSI インストーラーをご利用の場合は、ヘルプ メニューの 更新のチェック から更新するか、最新版をダウンロードしてください。MSI インストーラーを直接ダウンロードされる際には、デジタル署名の署名者が Emurasoft, Inc. であることを確認してください。
• Windows と Web ブラウザーを常に最新の状態に保ってください。 WebPreview プラグインと ChatAI プラグインが使用する Microsoft Edge も含みます。

ご質問がございましたら、ご連絡ください。

今後とも EmEditor をご愛顧賜りますよう、よろしくお願い申し上げます。
— Yutaka Emura