MongoDB PHP Driverに脆弱性、遠隔からサービス停止の恐れ

フランスのCERT-FRは2026年10月21日、MongoDB PHP Driverの脆弱性を公表しました。攻撃者が遠隔からサービス拒否を引き起こせるとしています。利用企業では、導入しているドライバーの版を確認し、対象なら開発元の情報を基に更新対応を判断する必要があります。

遠隔からサービス拒否、対象はドライバーの指定版

サービス拒否とは、サービスの正常な利用を妨げることです。今回の注意喚起では、遠隔からこの状態を引き起こせるとされています。業務への影響を確認する際は、対象のドライバーを使うシステムと、そのシステムを利用する部署を結び付けて整理することが出発点になります。

CERT-FRが示す影響対象は、次の3つです。

• PHP Driverの1.x.x系で、1.21.12未満
• PHP Driverの2.1.x系で、2.1.12未満
• PHP Driverの2.5.x系で、2.5.5未満

確認するのは、MongoDB PHP Driverの版です。MongoDBという製品名だけで対象と判断せず、システムごとにドライバーの利用有無と版番号を確認してください。また、1つの系統の境界だけを見て判断せず、導入している系統に対応する条件と照合します。

修正の入手方法は「PHPC-276」で確認

CERT-FRが情報源としているのは、MongoDBのセキュリティ情報「PHPC-276」です。発行日は2026年10月19日で、CERT-FRの注意喚起の最終更新日は2026年10月21日です。

CERT-FRは、修正の入手について開発元のセキュリティ情報を参照するよう案内しています。更新先や入手方法は、開発元の「PHPC-276」で確認してください。影響範囲の境界となる版番号だけから、実際に適用する更新内容まで決めないことが重要です。

日本での提供は発表には書かれていません。今回の注意喚起に示されている影響条件はドライバーの系統と版であり、日本向けの別条件は書かれていません。

影響する会社・しない会社

• 影響する: MongoDB PHP Driverの1.x.x系で1.21.12未満を使っている会社です。
• 影響する: 同ドライバーの2.1.x系で2.1.12未満、または2.5.x系で2.5.5未満を使っている会社です。
• 影響しない: MongoDB PHP Driverを使っていない会社は、今回示された製品の影響対象には該当しません。
• 影響しない: 上記3条件に該当しない版は、今回示された影響範囲には含まれていません。ただし、ほかの脆弱性もないことを意味するものではありません。

自社でドライバーの版を把握できていない場合は、まだ対象外とは判断できません。委託先が運用しているシステムも、利用有無と版番号の回答を受けてから分類してください。

情シスが今日やること

1. 今日、利用有無を照会します。 システム台帳や構成管理の記録を確認し、開発担当・運用担当・委託先に「MongoDB PHP Driverを使っているか、版番号はいくつか」を問い合わせます。資料には確認用の管理画面や操作手順は書かれていないため、担当者に実環境の確認を依頼します。
2. 回答を3つの影響条件と照合します。 システム名、導入版、対象かどうか、確認担当者を記録します。版が不明なものは「対象外」にせず、未確認として残します。
3. 対象があれば、更新担当者に開発元情報の確認を依頼します。 「PHPC-276」を基に、修正の入手方法と適用する更新内容を確認してもらいます。利用部署には、サービス拒否の恐れが公表されたことと、対象を確認中であることを伝えます。
4. 今日中に、次の確認期限を決めます。 未回答の担当者への再照会日と、対象システムの更新計画を報告する日を社内で決めます。資料には一律の更新期限は書かれていないため、発表上の期限と社内で決める期限を混同しないようにします。