2026年10月21日に発表されたPHPの極めて深刻な脆弱性（CVE-2026-109618 / CVE-2026-109619）につきまして、多くのシステム管理者様がインフラやアプリケーションの対応に追われていることと推察いたします。HAクラスタ環境を運用されている皆様におかれましても、「現在のシステム基盤は安全に稼働し続けられるのか」とご懸念を抱かれていることと存じます。
本記事では、開発元であるLINBIT社への確認結果を踏まえ、DRBDおよびPacemaker自体への影響、LINBIT社サイトの安全性、そしてHAクラスタ上でWebサービスを運用されている皆様へ向けた重要な確認事項をご報告します。
1. DRBDおよびPacemakerへの影響について（結論：影響なし）
結論から申し上げますと、今回のPHP脆弱性がDRBDおよびPacemaker（Corosync等のクラスタスタックを含む）に影響を及ぼすことはありません。
DRBDのコア機能はLinuxのカーネルモジュールとしてC言語等で実装されており、PacemakerやCorosyncなどの基盤コンポーネントの動作においてもPHPは一切使用されていません。 したがって、本脆弱性を起因としてデータ同期が破損したり、Split-brain（分断状態）の誘発、あるいは意図しないフェイルオーバーが発生するといったインフラ層での直接的なリスクは生じません。現在のHAクラスタ基盤の構成のまま、安心して運用をご継続いただけます。
2. LINBIT社サイト・リポジトリの安全性について
日本のサポート窓口として、本脆弱性の発表後ただちに、開発元であるオーストリアのLINBIT社に対し、同社が提供する各種ポータルサイトやシステムの状況確認を行いました。
その結果、ユーザーポータル（my.linbit.com）やメインサイト（linbit.com）を含め、LINBIT社のWebサイトおよびインフラ基盤はすべて対策済みであることが確認されています。 認定バイナリパッケージのダウンロードや技術ドキュメントの参照など、LINBIT社が提供するオンラインリソースは、これまで通り安全にご利用いただけます。
3. 【重要】WebサービスをHA化している場合のご確認とお願い
インフラ基盤（DRBD/Pacemaker）自体は完全に安全ですが、皆様のクラスタ環境上で稼働しているサービス（上位レイヤー）については、個別の確認と対策をお願いいたします。
特に、Pacemakerのリソースエージェント（例：ocf:heartbeat:apache や ocf:heartbeat:nginx など）を用いて、Webサービスをフェイルオーバーの対象としている環境では注意が必要です。 Pacemakerという「現場監督」や、DRBDという「強固な金庫」に欠陥はありませんが、その上で稼働させている「Webシステムという機械」自体にPHPの部品が使われている場合、システム全体の安全性を確保するためにその部品の点検が不可欠となります。
WordPress等のCMSや独自開発のPHPアプリケーションを提供している場合、そのアプリケーション層には今回の脆弱性の影響が及びます。
推奨されるアクション： Webサービスを運用されている管理者様は、速やかに以下のご対応をお願いいたします。
- HAクラスタ上のリソース稼働状況の確認:
pcs statusコマンドを使用して、Webサーバー関連のリソースがどのノードで稼働しているかを確認します。 - PHPのバージョン確認: 各ノードのRHEL系OS環境（AlmaLinux、Rocky Linux等）にて、影響を受けるバージョンのPHPが稼働していないかご確認ください（例：
php -v）。 - セキュリティパッチの適用: dnfやyumコマンド等を用いて、OSベンダーまたはPHP開発元から提供されている最新のセキュリティパッチを適用してください。
ヒント: パッチ適用に伴いWebサービスの再起動が必要な場合、Pacemakerによる意図しないフェイルオーバーや障害検知を防ぐため、作業前に該当リソースをアンマネージド（保守）状態にするか、ノードをスタンバイにすることを強く推奨します。
- リソースを保守状態にする:
pcs resource unmanage <リソース名> - ノードをスタンバイにする:
pcs node standby <ノード名> - 作業完了後は、
pcs resource manage <リソース名>、pcs node unstandby <ノード名>でクラスタの管理下に復帰させてください。
まとめ
HAクラスタの安定稼働を維持するためには、強固なインフラ基盤の構築に加えて、上位レイヤーであるアプリケーションの適切な脆弱性管理が両輪となります。基盤ソフトウェア自体の安全性は確保されておりますので、落ち着いてOSおよびアプリケーション層の確認・対策を進めていただければ幸いです。
