---
title: "サイボウズ Garoonの脆弱性とPHP脆弱性の影響：KEV追加後の6.17.3・6.0.4・5.15.3への更新手順【2026年10月】"
url: "https://www.issoh.co.jp/tech/details/10839/"
published: 2026-02-03
updated: 2026-10-31
categories: ["脆弱性・インシデント"]
publisher: "株式会社一創"
---

# サイボウズ Garoonの脆弱性とPHP脆弱性の影響：KEV追加後の6.17.3・6.0.4・5.15.3への更新手順【2026年10月】

2026年10月21日にPHPの緊急の脆弱性（CVE-2026-109618・CVE-2026-109619、通称PHP2Shell）が公表され、同じ夜にクラウド版Garoonが緊急メンテナンスに入りました。パッケージ版では10月23日に6.17.3、10月26日に6.0.4と5.15.3が公開されています。同じ10月26日には、米国CISAがPHPの2件を悪用が確認された脆弱性の一覧（KEV）に加えました。本記事では、GaroonとPHPの脆弱性の関係、KEVへの追加が示す悪用状況、2026年に公表されたGaroon自体の脆弱性4件の影響版、版ごとの更新経路を、サイボウズ・JVN・CISA・PHP公式の一次情報で整理します。

## まとめ：Garoon 6.17.3への更新と6.0系・5.15系の移行方針

- **今の最新版**：Garoon 6.17.3（6.17 Service Pack 3、2026年10月23日公開）。6.17.2は最新ではなくなりました。10月31日時点で、これより新しいパッケージ版のリリースは出ていません。
- **PHPの件**：パッケージ版GaroonはPHPを製品に同梱して動きます。6.17.3・6.0.4・5.15.3の改修内容は「内部ライブラリーを更新」とだけ書かれ、サイボウズはPHPへの対応とは明言していません。それでも、PHPの勧告の2〜5日後に、普段は更新が出ない旧系統にまで出た更新なので、全系統で当てる価値があります。
- **悪用の状況**：PHPの2件は10月26日にCISA KEVへ追加され、米国の連邦機関に課された対応期限は10月29日でした。JPCERT/CCは10月29日、PHPを組み込んだ製品が侵害された事例の報告を追記しています。Garoon自体の4件は、10月30日版のKEVにも載っていません。
- **Garoon自体の脆弱性**：2月にJVNで公表された3件（メール・メッセージのXSS、ポータル設定）の改修版は6.17.0、8月公表のスケジュールのXSS（影響は6.17.0〜6.17.1）の改修版は6.17.2です。6.0.4・5.15.3を当てても、2月の3件は直りません。
- **クラウド版**：10月21日21:00〜22日3:01に「セキュリティ上の予防的な措置」として停止しました。サイボウズは、不正アクセスや情報漏えいは確認されていないとしています。利用者側の作業はありません。
- **販売・サポートの終了日程**：Garoon 6は2027年10月29日から段階的に販売を終了し、サポート終了は2033年1月31日です。Garoon 5は追加・継続ライセンスの販売終了が2026年10月30日、サポート終了が2027年10月29日です。5.15系に残された時間は約1年です。

## 2026年10月のPHPの緊急脆弱性とGaroonへの影響の関係

パッケージ版GaroonはPHPを同梱しているため、PHPの脆弱性情報も確認対象になります。ただし影響の有無をサイボウズは公表していないため、ここでは確認できた事実と、そこから言える範囲を分けて書きます。

### PHPのCVE-2026-109618・109619の内容と修正版

[PHP公式のセキュリティ勧告](https://www.php.net/archive/2026.php#2026-10-21-5)（2026年10月21日）によると、2件はどちらも認証なしでリモートからコードを実行できる脆弱性です。CVSS v4.0はどちらも9.2で、修正版としてPHP 8.5.12・8.4.27・8.3.36・8.2.35が公開されています。対象はPHP-FPM、Apacheのmod\_php、php-cgiなど、Webリクエストを処理するすべての導入形態です。[JPCERT/CCの注意喚起](https://www.jpcert.or.jp/at/2026/at260033.html)は10月26日の更新で、実証コードが多数公開され、悪用を試みる通信の観測も相次いでいると追記しました。また、PHPを使う製品も影響を受ける可能性があるとして、製品の提供元の情報もあわせて確認するよう求めています。脆弱性の仕組みと一般的なPHP環境での対処は[PHP2Shell（CVE-2026-109618・109619）の影響範囲と修正版、悪用の実態](/tech/details/18738/)で解説しています。

### パッケージ版GaroonがPHPを同梱して動作することの確認根拠

[Garoon 6.17.x インストールガイド（第2.6版）](https://jp.cybozu.help/g6/pdf%5Fja/manual%5Fgr6%5Finstall%5Fja2.6.pdf)のファイル構成には、GaroonのCGIディレクトリーの中に「php8.dll」「php.ini」（Windows版）や「PHPの機能拡張に必要なファイル」を入れるフォルダーが載っています。Linux版の構成にもphp.iniとPHPのセッションデータのフォルダーがあります。GaroonはOSに入れたPHPではなく、製品に同梱したPHPで動く作りです。

そのため、OSのパッケージ更新でPHPを新しくしても、Garoonが使うPHPは入れ替わりません。直す手段はサイボウズが出すGaroonの更新プログラムです。本記事で参照したインストールガイドとリリースノートでは、同梱PHPの正確なバージョンは確認できません。2026年10月31日時点で、[サイボウズのセキュリティ情報](https://cs.cybozu.co.jp/security/)の一覧（最新の掲載は7月31日）にもJVNにも、PHPの件に関するGaroonの記載はありません。

### 6.17.3・6.0.4・5.15.3の公開日と「内部ライブラリーを更新」の読み方

10月に出たパッケージ版の更新は次の3つです。改修内容は[Garoon 6のリリースノート（2026年）](https://jp.cybozu.help/g6/ja/update/release%5Fnotes/2026.html)と[Garoon 5のリリースノート（2026年）](https://jp.cybozu.help/g5/ja/update/release%5Fnotes/2026.html)の記載です。

| 公開日        | リリース                    | 記載された改修内容   |
| ---------- | ----------------------- | ----------- |
| 2026-10-23 | Garoon 6.17.3（6.17 SP3） | 内部ライブラリーを更新 |
| 2026-10-26 | Garoon 6.0.4（6.0 SP4）   | 内部ライブラリーを更新 |
| 2026-10-26 | Garoon 5.15.3（5.15 SP3） | 内部ライブラリーを更新 |

どのリリースノートも「内部ライブラリーを更新」の1行だけで、PHPの名前もCVE番号も出てきません。この1行だけでPHPの修正と言い切ることはできません。一方で、[パッケージ版Garoonの脆弱性対応方針](https://garoon.cybozu.co.jp/support/package/update/)は「OSSライブラリ（PHPやMySQLなど）における脆弱性は、CVSSのスコアにかかわらず、リリース中の最新バージョンに対する、次期アップデートプログラム」で改修するとしています。通常の方針では最新バージョン向けの更新が案内されていますが、今回は6.0系と5.15系にもService Packが公開されています。6.0.xや5.15.xで動かしている組織は、これを「旧系統向けにまた更新が出る」とは期待せず、今回の更新を確実に当てたうえで6.17系への移行を急ぐのが妥当です。

## PHP2件のCISA KEV追加（10月26日）とGaroonの脆弱性4件の未掲載の意味

10月26日まで、PHPの2件の悪用状況を示す公的な情報はJPCERT/CCの追記が中心でした。同じ日に米国CISAが2件をKEVへ加えたことで、「実際に悪用されている」ことが公的な一覧で示されました。ここでは、KEVの掲載データとその後の追記を確かめ、Garoonの管理者にとって何が変わったのかを整理します。

### KEVの掲載内容：追加日10月26日・対応期限10月29日とフォレンジック要件

[CISAのKEV（Known Exploited Vulnerabilities Catalog）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)は、実際の攻撃で悪用が確認された脆弱性の一覧です。[KEVのJSONフィード](https://www.cisa.gov/sites/default/files/feeds/known%5Fexploited%5Fvulnerabilities.json)（2026年10月30日版）を見ると、PHPの2件の掲載内容は次のとおりでした。

| 項目          | CVE-2026-109618 | CVE-2026-109619 |
| ----------- | --------------- | --------------- |
| KEVでの名称     | PHPのメモリー破損      | PHPの古い内部リクエスト状態 |
| 追加日         | 2026-10-26      | 2026-10-26      |
| 対応期限        | 2026-10-29      | 2026-10-29      |
| ランサムウェアでの利用 | Unknown         | Unknown         |
| フォレンジック要件   | あり（Yes）         | あり（Yes）         |

CVE-2026-109619のKEVでの名称は「PHP Stale Internal Request-State」で、表では日本語で表記しています。対応期限は追加日から3日後です。10月30日版のKEV全1,766件で追加日から期限までの日数を数えると、最も多いのは21日（1,025件）で、3日以内は160件にとどまります。対応の指示は、新しい指令BOD 26-04に沿ってパッチを当てるだけでなく、CISAの「Forensics Triage Requirements」に沿った侵害の調査も求めています。つまり、更新しただけでは対応が終わらず、更新前に侵入されていないかも調べる扱いです。KEVの備考には、この脆弱性はオープンソースの部品に関するもので、さまざまな製品で使われうると書かれています。Garoonのように製品にPHPを組み込んでいる場合も、この期限と調査の要求を自社のものとして読むのが筋です。BOD 26-04で期限がどう決まるかは[BOD 26-04とKEVの是正期限を4変数で決める仕組み](/tech/details/18233/)で解説しています。

[CISAの注意喚起](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)（10月26日改訂）は、PHPは他のソフトウェアの部品として入っていることが多く、外から見ただけでは使われているか分からない場合がある、と書いています。そのうえで、組織内のPHPを含むシステムの洗い出し、インターネットに面したシステムからの更新、すぐに更新できないシステムのネットワークからの切り離しを求めています。

### JPCERT/CCの10月29日追記：PHPを組み込んだ製品への攻撃と横展開

JPCERT/CCの注意喚起は10月29日にも更新されました。追記によると、あるファイアウォール製品の特定バージョンに対して、侵害の成功を示唆する痕跡が見つかったと報告されています。攻撃者はその製品をバージョンごとに解析し、PHPの脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせた攻撃コードを作っていたとされます。侵害した機器を足がかりに、内部ネットワークへ横展開を試みた痕跡もあったとのことです。

JPCERT/CCは、一部の製品ベンダーが攻撃を観測してセキュリティアドバイザリを更新したことにも触れています。そして、PHPを組み込んだ製品の管理者に、製品が影響を受けるか、その製品を狙った攻撃や侵害の事例がないかを確かめるよう勧めています。この追記で名前が挙がった製品はGaroonではありません。それでも「PHPを組み込んだ製品を個別に解析して攻撃する」動きが報告された以上、同梱PHPで動くGaroonを例外扱いする根拠はありません。

### KEVの掲載状況をPythonで取得してGaroonの4件と一緒に照合する手順

KEVはJSONで配布されているので、自社の脆弱性台帳にあるCVEが掲載されたかどうかを機械的に確かめられます。次のコードは、PHPの2件とGaroonの4件について、掲載の有無と追加日・期限を出すためのものです。Python 3の標準ライブラリーだけで動きます。

```
# kev_check.py：KEVのJSONから指定したCVEの掲載状況を出す
import json, urllib.request

URL = "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"
IDS = ["CVE-2026-109618", "CVE-2026-109619",  # PHP2Shell
       "CVE-2026-20711", "CVE-2026-22881", "CVE-2026-22888", "CVE-2026-57279"]  # Garoon

req = urllib.request.Request(URL, headers={"User-Agent": "kev-check"})
kev = json.load(urllib.request.urlopen(req, timeout=60))
rows = {v["cveID"]: v for v in kev["vulnerabilities"]}
print("catalogVersion:", kev["catalogVersion"])
for cve in IDS:
    v = rows.get(cve)
    if v:
        print(cve, "掲載", "追加日=" + v["dateAdded"], "期限=" + v["dueDate"],
              "ランサムウェア=" + v["knownRansomwareCampaignUse"])
    else:
        print(cve, "未掲載")
```

2026年10月31日に実行したときの出力は次のとおりです（カタログは10月30日版）。

```
catalogVersion: 2026.10.30
CVE-2026-109618 掲載 追加日=2026-10-26 期限=2026-10-29 ランサムウェア=Unknown
CVE-2026-109619 掲載 追加日=2026-10-26 期限=2026-10-29 ランサムウェア=Unknown
CVE-2026-20711 未掲載
CVE-2026-22881 未掲載
CVE-2026-22888 未掲載
CVE-2026-57279 未掲載
```

IDSの中身を自社の台帳のCVEに差し替え、毎日の定期実行に組み込めば、掲載の変化に気づけます。カタログはCISAの更新に合わせて差し替わるので、出力のcatalogVersionも記録しておくと、いつの時点の判定かを後から追えます。なお、PHP公式が10月23日に公表したCVE-2026-115560も、10月30日版のKEVには載っていません。

### KEV未掲載のGaroon 4件を後回しにしないほうがよい理由

KEVに載っていないことは、悪用されていないことの証明ではありません。KEVはCISAが悪用の証拠を確認したものだけを載せる一覧で、確認できていない悪用は載りません。Garoonの4件は、JVNとサイボウズの情報に悪用の記載がない、というのが確認できる範囲です。

対応の順番としては、KEVに載ったPHPの2件を先に片付けます。ここは迷う必要がありません。ただし6.17.3へ上げればGaroonの4件も同時に直るので、6.17系を使っている組織にとって、両者を分けて考える意味はほとんどありません。分けて考える必要があるのは6.0系と5.15系です。6.0.4・5.15.3でPHPの件に備えたとしても、2月の3件は残ります。KEVに載っていないからといって「様子見」のまま6.17系への移行を先送りすると、メールのXSSのような権限不要の脆弱性を抱え続けることになります。

## クラウド版Garoonの緊急メンテナンス（2026年10月21日〜22日）の経緯

[サイボウズのお知らせ](https://cs.cybozu.co.jp/2026/013781.html)によると、クラウド版Garoonは2026年10月21日（水）21:00から22日（木）3:01まで、「セキュリティ上の予防的な措置」として緊急メンテナンスに入り、その間は利用できませんでした。告知は当日19:30で、22日3:07に「対応完了」へ更新されています。Garoon以外のcybozu.comのサービス（kintoneなど）は通常どおり使えました。

メンテナンスの理由は「予防的な措置」としか書かれていません。PHPの修正版の公開予定（10月21日14:00 UTC＝日本時間23:00）と時間が重なりますが、サイボウズはPHPとの関係を説明していません。サイバー攻撃や情報漏えいがあったのかについては、サイボウズは発表時点で「本件に起因する不正アクセスや情報漏えいは確認されておりません」としています。10月31日時点で、このお知らせに追加の更新はありません。クラウド版は利用者がバージョンを上げる仕組みではないため、利用者側で更新の作業はありません。障害や停止の状況は[cybozu.comのシステム稼働状況](https://status.cybozu.com/status/)で確認できます。

## 2026年に公表されたGaroonの脆弱性4件の影響範囲とCVSS

PHPとは別に、ここでは2026年にJVNで公表されたGaroonの脆弱性4件を取り上げます。[JVN#35265756](https://jvn.jp/jp/JVN35265756/)（2月2日）と[JVN#72334274](https://jvn.jp/jp/JVN72334274/)（8月3日）の記載をまとめると次のとおりです。CVSSはJPCERT/CCとサイボウズが付けたv3.0の基本値です。

| CVE            | 機能・種類       | CVSS v3.0 | 影響版           | 改修版    |
| -------------- | ----------- | --------- | ------------- | ------ |
| CVE-2026-20711 | メールのXSS     | 6.5       | 5.0.0〜6.0.3   | 6.17.0 |
| CVE-2026-22881 | メッセージのXSS   | 5.7       | 5.15.0〜6.0.3  | 6.17.0 |
| CVE-2026-22888 | ポータル設定の入力確認 | 4.9       | 5.0.0〜6.0.3   | 6.17.0 |
| CVE-2026-57279 | スケジュールのXSS  | 6.8       | 6.17.0〜6.17.1 | 6.17.2 |

JVNはCVSS v4.0の値も併記しており、CVE-2026-20711と22888が6.9、22881が6.8、57279が6.0です。v4.0とv3.0の数値は同じ尺度ではないので、社内の台帳ではどちらかに揃えて記録してください。4件ともサイボウズの深刻度は「警告」で、2026年10月30日版の[CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)には載っていません。

### メールとメッセージのXSSで任意のユーザーのパスワードが変わる仕組み

CVE-2026-20711とCVE-2026-22881は、メールやメッセージの表示で入力値が無害化されないまま画面に出てしまう欠陥（CWE-79）です。細工したメールやメッセージを利用者が開くと、そのブラウザー上でスクリプトが動き、ログイン中の利用者の権限でGaroonを操作されます。JVNは影響として「任意のユーザのパスワードが変更される」ことを挙げています。

2件の違いは攻撃に必要な権限です。メールのXSS（20711）はPR:N（権限不要）で、社外から届いたメールを開かせるだけで成立し得ます。メッセージのXSS（22881）はPR:L（Garoonにログインできる利用者）で、社内のアカウントを先に持っていることが前提です。JVNは20711の発見者をMasato Kinugawa氏とし、22881と22888は開発者がJPCERT/CCに報告したと説明しています。XSSの基本と防ぎ方は[XSSとCSRFの違いと、塞ぐ順番まで含めた対策](/tech/details/4109/)で解説しています。

### ポータル設定の不適切な入力確認とNVDの評価で権限条件が異なる点

CVE-2026-22888は、ポータル設定で想定外の値を受け付けてしまう不備（CWE-231）で、設定データを改ざんされるとGaroonにアクセスできなくなるおそれがあります。サイボウズの評価はPR:H（高い権限が必要）で、CVSS v3.0は4.9です。

一方、[NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-22888)でNISTが付けたCVSS v3.1は7.5（PR:N、権限不要）です。脆弱性管理ツールがNVDの値を取り込んでいると、この1件だけ「High」と表示されます。社内の一覧で数値が合わないときは、評価した主体の違いを疑ってください。

### 6.17.0〜6.17.1に残っていたスケジュール機能のXSS

CVE-2026-57279は、2月の3件を直した6.17.0と、次の6.17.1に残っていたスケジュール機能のXSSです。[サイボウズの不具合情報（CyVDB-4148）](https://kb.cybozu.support/article/39182/)は2026年7月31日に公開され、改修版を6.17.2としています。CVSS v3.0は6.8で、スコープの変更（S:C）を含むため、2月のXSSより高い値です。2月の注意喚起を受けて6.17.0に上げた組織ほど、「対応済み」と記録したまま止まっている可能性があります。

## Garoon 5・6.0を使い続けている場合の更新と移行の判断方針

6.0.xと5.15.xには10月26日に内部ライブラリーを更新するService Packが公開されました。ただし、PHPの脆弱性への対応内容は明示されておらず、この更新でPHPの問題が解消すると断定することはできません。2月の3件（メールとポータル設定は5.0.0〜6.0.3、メッセージは5.15.0〜6.0.3が影響対象）の改修版は6.17.0で、[サイボウズの不具合情報（CyVDB-3687）](https://kb.cybozu.support/article/39081/)には「Garoon 6 以降のみの改修となるため、Garoon 5 以前でのパッチはリリースいたしません」とあります。6.0.4と5.15.3のリリースノートにも、この3件の改修は書かれていません。

### サイボウズの脆弱性対応方針と旧版にも修正の更新が提供される条件

先の脆弱性対応方針が旧版にも修正を出すと定めているのは、CVSSが7.0以上で、かつOSSライブラリの脆弱性ではないものだけです。その場合は、サポート対象の下位メジャーの最新版に緊急パッチが出ます。2026年の4件はいずれもCVSS 7.0未満なので、この条件に当たりません。6.0系や5.15系に留まる限り、2月の3件は直らないまま残ります。

### パッケージ版の販売・サポート終了日程とクラウド版への移行の判断

[「パッケージ版 Garoon」販売・サポート終了のお知らせ](https://cs.cybozu.co.jp/2025/010862.html)（2025年7月7日）では、Garoon 6の新規ライセンスなどの販売終了が2027年10月29日、継続サービスライセンス（単年）などの販売終了が2031年10月31日、サポート終了が2033年1月31日とされています。サポート終了の対象には、バージョンアップ対応と不具合改修も含まれます。

Garoon 5の期限はもっと近く、[サイボウズ Garoon 継続更新のご案内](https://cs.cybozu.co.jp/keizoku%5Fgr4.html)では、追加・継続ライセンスの販売終了が2026年10月30日、サポート終了が2027年10月29日です。サービス有効期間が残っていればGaroon 6へ無償でバージョンアップできますが、その期限もGaroon 5のサポート終了日（2027年10月29日）までです。5.15系の組織に残された時間は約1年となります。

移行先としてサイボウズが案内しているのはクラウド版です。2026年10月1日には、[パッケージ版からクラウド版へのデータ移行費用](https://cs.cybozu.co.jp/2026/013771.html)が値下げされ、移行できるデータ容量の上限も2,000GBから3,000GBに広がりました。6.0系の組織は、6.17系へ上げてパッケージ版を2033年まで使うか、クラウド版へ移るかを決める段階です。5.15系の組織は、2027年10月29日までにGaroon 6へ上げるかクラウド版へ移るかを決めないと、サポートの切れた製品が残ります。今回のように、同梱するPHPの緊急脆弱性が出るたびに自社で更新の判断と作業を負う点も、パッケージ版を続けるかどうかの判断材料になります。製品ごと見直す場合は[グループウェアの比較と選び方](/column/details/17482/)を参照してください。

## 自社のGaroonを6.17.3へ更新する経路と作業前の確認手順

作業の前に、稼働中のGaroonのバージョンを確かめます。確認方法と版の表記は、サイボウズの[製品プログラムのページ](https://garoon.cybozu.co.jp/support/package/download/)で案内されています。

### 稼働中のGaroonのバージョンごとに確認する更新経路と適用順序

インストールガイド（第2.6版）のバージョンアップの章には、6.17のService Pack（6.17.1以降）を適用できるのは6.17.0以降のGaroonだけ、と書かれています。6.0.xから直接6.17.3へは上げられません。

| 今の版              | 更新経路                     |
| ---------------- | ------------------------ |
| 6.17.0〜6.17.2    | 6.17.3を適用                |
| 6.0.x            | 6.17.0へ上げてから6.17.3を適用    |
| 6.0より前           | 6.0→6.17.0→6.17.3        |
| 6.17へ上げられない6.0.x | 当面は6.0.4を適用              |
| 5.15.x           | 当面は5.15.3を適用し6系かクラウド版へ移行 |

Windows版には注意点があります。2026年9月28日の[6.17.2a（改修版インストーラー）](https://cs.cybozu.co.jp/2026/013772.html)は、Windows版6.17.1と6.17.2で起きる「キーワード検索を実行するとGaroonのすべての機能が使えなくなる」不具合を直すものです。ただし同じ版どうしの更新になるため、すでに6.17.2を使っている環境には当てられません。この不具合は6.17.3で改修済みなので、6.17.2の環境は6.17.3へ上げれば解消します。6.17.3では動作環境の変更はありません。

### ダウンロードしたService PackをMD5値で確かめるコマンド

ダウンロードページには、6.17.3のファイル名とMD5値が載っています（Linux版 grn-6.17.3-linux-x64.bin が472A7F6CFBD5BE1CAD30E8402BFBC7C4、Windows版 grn-6.17.3-windows-x64.exe が1D0B2108B7187EF8CD2866C0AA3E5CB5）。サーバーへ持ち込む前に、ファイルが壊れていないか、取り違えていないかを照合します。

```
# Linux（RHEL 8・9）：OKなら終了コード0、不一致ならFAILEDと表示し1を返す
echo "472A7F6CFBD5BE1CAD30E8402BFBC7C4  grn-6.17.3-linux-x64.bin" | tr 'A-F' 'a-f' | md5sum -c -

# Windows Server（PowerShell）：一致すればTrue
(Get-FileHash -Algorithm MD5 .\grn-6.17.3-windows-x64.exe).Hash -eq '1D0B2108B7187EF8CD2866C0AA3E5CB5'
```

Linux側は、照合値とファイル名の間を半角スペース2つで区切ります。大文字の値を小文字に揃えているのは、md5sumの実装による差を避けるためです。一致すればOKと表示して終了コード0、不一致ならFAILEDと表示して終了コード1を返すので、スクリプトに組み込むときは終了コードで判定できます。不一致のときは更新作業を進めず、公式の配布元から取り直して照合し直してください。Windows側の[Get-FileHash](https://learn.microsoft.com/ja-jp/powershell/module/microsoft.powershell.utility/get-filehash)は大文字の16進数を返し、PowerShellの-eqは大文字と小文字を区別しないので、値はそのまま貼り付けて構いません。

### Garoonの更新前に取るバックアップと本番への適用作業の順序

1. 現在の版と更新経路（上の表）を確かめ、必要なインストーラーとService Packを入手してMD5値を照合する。
2. Garoonのデータとアプリケーションのバックアップを取る。インストールガイド第2.6版では、6.17.0からService Packへ上げるときのディスク空き容量の注意が追加されているので、空き容量も先に確かめる。
3. 検証環境があれば、カスタマイズ（JavaScriptやCSS）や連携システムの動作と、更新にかかる時間を先に確かめる。
4. 本番で更新し、管理画面でバージョンが6.17.3（6.0系なら6.0.4、5.15系なら5.15.3）になったことを確かめる。

サイボウズは、適用作業が環境に依存するため構築パートナーへの相談を勧めています。グループメール for Garoonを使っている場合は、Garoonの更新にあわせてグループメールの環境も更新される仕組みです。PHPの2件はKEVのフォレンジック要件の対象なので、バックアップを取る前にWebサーバーのログを別の場所へ退避しておくと、更新後に侵害の有無を調べるときの材料が残ります。

## Garoonの更新までに行う暫定対処とサーバーの侵害痕跡の確認

PHPの勧告にはphp.iniでの緩和策が載っていますが、Garoonが同梱するphp.iniの書き換えをサイボウズは案内していません。同梱PHPの設定は自己判断で変更せず、製品更新とあわせてサイボウズに必要な対処を確認してください。PHP公式は10月23日に別の脆弱性CVE-2026-115560を公表し、特定の構成では次の通常リリースで修正されるまで緩和設定を勧めています。Garoonでの該当有無や設定変更の可否も、提供元への確認事項です。更新まで日があく場合は、次のように攻撃の入口を狭めます。

- **公開範囲を絞る**：Garoonをインターネットに直接公開している場合は、更新が終わるまでVPN経由や送信元IPの制限に切り替える。PHPの脆弱性は認証前に悪用される可能性があるため、ログイン認証だけに頼らず、ネットワーク側で到達できる接続元を減らす。CISAは、すぐに更新できないPHPのシステムはネットワークから切り離すよう求めており、WAFは更新までの一部の防御にとどまるとしている。
- **メールのXSS**（6.17.0より前）：社外からのメールを受けている場合は、不審なメールを開かないよう周知する。メール機能を使っていないなら無効化を検討する。
- **メッセージのXSSとポータル設定**：退職者や使っていないアカウントを止め、システム管理者の権限を必要最小限にする。
- **パスワード変更の監視**：覚えのないパスワード変更の申告があれば、XSSの悪用を疑って調べる手順を決めておく。

侵害の有無は、JPCERT/CCの注意喚起を参考に、Webサーバー・PHPのログや、保存されているHTTPリクエスト／レスポンスの記録から調べます。異常に長い、または形式のおかしいPHPSESSIDのCookieを返していないか。不審なmultipart/form-dataのリクエストの前後に、メモリ上限のエラーやHTTP 500が出ていないか。PHPの処理が予期せず落ちたり再起動したりした跡がないか。CISAは、PHPのワーカープロセスがシェルを起動したり、ツールをダウンロードしたりする動きの監視も挙げています。Garoonのサーバーで、Webサーバーの実行ユーザーを親に持つシェルや外部への通信が残っていないかも見てください。Cookie値やプロセスの異常終了は、通常のアクセスログだけでは確認できない場合もあるため注意が必要です。JPCERT/CCは、痕跡が見つからなくても攻撃を受けていないとは断定できないとしています。10月29日の追記にあるとおり、侵害された機器を足がかりにした横展開も報告されているので、Garoonのサーバーから社内の他のサーバーへの不審な接続がないかも確かめてください。更新の影響を読み切れない場合や、社内の他のシステムに同じ弱点が残っていないかを確かめたい場合は、[脆弱性診断・セキュリティ診断](/service/system/vulnerability/)で第三者に確認してもらう方法があります。

## よくある質問

### GaroonはPHPの脆弱性の影響を受けますか？

サイボウズは影響の有無を公表していません。パッケージ版GaroonはPHPを同梱して動き、PHPの勧告はphp-cgiを含むWebリクエストを処理するすべての導入形態を対象にしています。そのため影響を受けるものとして扱い、10月に出た6.17.3（6.0系は6.0.4、5.15系は5.15.3）を当ててください。

### Garoon 6.17.2に上げていれば対応は完了していますか？

2026年にJVNで公表されたGaroonの脆弱性4件は、6.17.2で直っています。ただし最新は6.17.3（2026年10月23日公開）で、内部ライブラリーの更新とWindows版のキーワード検索の不具合の改修が入っています。6.17.2のままにせず、6.17.3へ上げてください。

### クラウド版Garoonの緊急メンテナンスで情報漏えいはありましたか？

サイボウズは、2026年10月21日〜22日の緊急メンテナンスについて「本件に起因する不正アクセスや情報漏えいは確認されておりません」と発表しています。メンテナンスは予防的な措置で、利用者側の作業はありません。

### Garoon 5を使っていますが、更新プログラムはありますか？

2026年10月26日にGaroon 5.15.3が公開されました。ただし改修内容は内部ライブラリーの更新で、2月に公表されたXSSなどの3件は直りません。この3件についてサイボウズは、Garoon 5以前にはパッチを出さないと明記しています。Garoon 5のサポートは2027年10月29日に終わるため、5.15.3を当てたうえで、それまでに6系かクラウド版へ移ってください。

### これらの脆弱性は実際に悪用されていますか？

PHPの2件は、2026年10月26日にCISAのKEVへ追加されました。悪用が確認された脆弱性として扱われ、米国連邦機関の対応期限は10月29日です。JPCERT/CCも10月29日に、PHPを組み込んだファイアウォール製品の侵害を示唆する痕跡の報告を追記しています。Garoonの4件は、JVNとサイボウズの情報に悪用の記載がなく、10月30日版のKEVにも載っていません。参照したサイボウズの告知では、Garoonを標的とした悪用は確認できません。更新を進めるとともに、提供元の続報と自社環境の侵害痕跡を確認してください。

## 関連記事

- [PHP2Shellとは：CVE-2026-109618・109619の影響範囲と修正版、悪用の実態と更新できない場合の設定【2026年10月】](/tech/details/18738/)
- [BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方](/tech/details/18233/)
- [PHPのサポート期限一覧：8.2は2026年末で終了、版ごとのEOLと移行手順【2026年10月】](/tech/details/18881/)
- [XSSとCSRFの違いとは？仕組み・被害・対策を比較し、塞ぐ順番まで解説](/tech/details/4109/)
- [CVE-2026-42897とは？Exchange OWAの悪用済みXSSと修正SU・緩和策の外し方【2026年10月】](/tech/details/12219/)
- [グループウェア比較｜料金と最低ユーザー数、Microsoft 365との棲み分けで決める選定基準](/column/details/17482/)

---

出典: [サイボウズ Garoonの脆弱性とPHP脆弱性の影響：KEV追加後の6.17.3・6.0.4・5.15.3への更新手順【2026年10月】](<https://www.issoh.co.jp/tech/details/10839/>)（株式会社一創）