PHPに、認証なしで遠隔から悪用されるおそれのある重大な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。これらはリモートコード実行（RCE）につながる可能性があり、影響範囲は広く、多くのPHP環境が対象となっています。
hsBox 1.4系（Ubuntu 26.04 + PHP 8.5）にもPHPが含まれているため、該当する環境では更新をお願いします。修正版のパッケージはすでに配信されています。
なお、hsBoxは通常、家庭内などのローカルネットワークで利用することを想定した製品です。インターネットに公開している場合（ルーターでポートを開放している場合など）は、更新が完了するまで外部からのアクセスを一時的に制限してください。
対象
- hsBox 1.4系（Ubuntu 26.04ベース）
コマンドでの更新を推奨します。 - それ以前のバージョン
最新のhsBox 1.4系への置き換えを推奨します。
※ freeBoxはPythonベースのため、本脆弱性の直接の影響はありません（hsBox側のPHPのみが対象です）。
更新手順（コマンド推奨）
ターミナルで以下を実行してください。
sudo apt update
sudo apt install --only-upgrade '?installed ?source-package(^php[0-9.]+$)'
sudo systemctl restart apache2対策済みかの確認
更新後、以下のコマンドでバージョンを確認してください。
dpkg -l | grep php- 対策済みの例:
8.5.4-0ubuntu1.5以降 - 未対策の例:
8.5.4-0ubuntu1.3など、それより古いバージョン
自動更新が有効になっている場合でも、再起動するまでは古いPHPが動作したままです。必ず再起動を実施してください。
ご不明な点について
hoscmサポート（HSS）までお問い合わせください。
https://hoscm.com/hsbox/support/
