1on1コンシェルジュ

PHPの重大な脆弱性（php2shell）について——当サービスへの影響はありません

2026年10月22日　運営からのお知らせ

2026年10月21日、プログラミング言語PHPに深刻度「緊急」とされる脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称php2shell）が公表され、修正版が公開されました。世界中のWebサイトの多くがPHPで動いているため、各国で大きく報じられています。お客様からのお問い合わせに先回りして、当サービスの状況をご案内します。

結論：接客品質採点SaaS「1on1コンシェルジュ」は、この脆弱性の影響を受けません。

当サービスはPHPを使用していません。画面・API・データベースのいずれの層にもPHPの実行環境が存在しないため、この脆弱性を突かれる経路そのものがありません。

したがって、お客様に対応をお願いすることはありません。パスワードの変更、再ログイン、設定の見直しはいずれも不要です。サービスの停止や一時的な機能制限も行っていません。

何が起きているのか

PHPの開発元であるThe PHP Groupが、2026年10月21日（日本時間では深夜）に2件の脆弱性を修正したセキュリティリリースを公開しました。JPCERT/CCは注意喚起の中で、影響を次のように記しています。

PHPの実行プロセスの権限で任意のコードを実行される可能性があります JPCERT/CC 注意喚起「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」

報道によれば、2件はいずれもリクエスト処理中のメモリの扱いに起因します。CVE-2026-109618はメモリ不足でリクエストの内部データの初期化が中断されたとき、その後の終了処理が不完全なデータを正常なものとして扱ってしまうもの。CVE-2026-109619はリクエストが使っていたメモリを解放した後も、そのメモリを指す内部状態が残り、別のリクエストがそれを使ってしまうものです。PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeedといった一般的な構成が対象で、WordPress・Laravel・EC-CUBEなどPHPで作られたシステムは広く該当します。

修正版と影響範囲は次のとおりです。

PHPの系統影響を受けるバージョン修正済みバージョン
8.5系8.5.12 より前8.5.12 以上
8.4系8.4.27 より前8.4.27 以上
8.3系8.3.36 より前8.3.36 以上
8.2系8.2.35 より前8.2.35 以上
8.1系以前影響あり通常のアップデート版の提供なし（サポート終了済み。深刻さを踏まえ、最小限の修正を施したソースコードのみ公開）
設定変更による緩和策もいくつか挙げられていますが、専門機関はいずれも一時しのぎであり、完全に防げるものではないとしています。対策はPHP自体のアップデートです。

なぜ当サービスは影響を受けないのか

「影響ありません」だけでは確認のしようがないため、判断の根拠となる技術構成を開示します。当サービスは次の構成で動いており、PHPはどの層にも含まれません。

層使用している技術PHPの使用
画面（ブラウザ側）React + TypeScript。静的ファイルとして配信なし
API（サーバー側）Python 3.12 + FastAPI（コンテナで稼働）なし
データベース・認証・音声の保管PostgreSQL（Supabase）なし
AIによる文字起こし・採点OpenAI／Anthropic の各APIなし

確認した内容（2026年10月22日実施）

あわせて、当サービスが利用しているクラウド各社（配信基盤・コンテナ実行基盤・データベース基盤）の発表についても、継続して確認を行っています。これらの基盤内部の構成は当社が管理する範囲ではありませんが、各社からお客様への対応要請が出た場合は、本ページを更新してご案内します。

自社でWordPressなどをお使いの場合

当サービスとは別に、自社のホームページや採用サイトをWordPress・Laravel・EC-CUBEなどで運用されている場合は、そちらが対象になります。順序としては次の3点です。

当社が別途運営しているWebサイトのうちPHPを使用しているものについては、対応が完了しています（サイトを管理する事業者により、修正済みバージョンへのPHP更新が2026年10月22日に完了したことを確認しました）。接客品質採点SaaS「1on1コンシェルジュ」とはサーバーもデータも分離しており、お客様からお預かりしているデータは本ページに記載した構成（PHPを含まない環境）にのみ保管しています。

よくある質問（FAQ）

1on1コンシェルジュに預けている音声やデータに影響はありますか？

影響はありません。今回の脆弱性はPHPというプログラミング言語の実行環境に存在するもので、PHPが動いていないシステムは対象になりません。当サービスは画面・API・データベースのいずれの層でもPHPを使用していないため、この脆弱性を突かれる経路がそもそも存在しません。

利用者側で設定変更やアップデートは必要ですか？

当サービスの利用にあたって必要な作業はありません。パスワードの変更も再ログインも不要です。ブラウザから利用する形のため、お客様の端末にPHPが入っている必要もありません。

自社のホームページがWordPressです。どうすればよいですか？

WordPressはPHPで動いているため対象になります。まずサーバーのPHPバージョンを確認し、8.5.12／8.4.27／8.3.36／8.2.35以上になっているかを確認してください。注意点は、WordPress本体やプラグインを更新してもこの脆弱性は直らないことです。直すのはPHP自体の更新です。レンタルサーバーをお使いの場合は、サーバー事業者側でパッチが適用されていることが多いため、各社の告知を確認するのが最初の一手になります。

「PHPを使っていない」とどうやって確認したのですか？

3点を確認しました。1点目、ソースコード全体にPHPのファイル（.php）およびPHPの依存管理ファイル（composer.json／composer.lock）が1件も存在しないこと。2点目、APIを動かしているコンテナイメージがPythonの公式イメージをもとに作られており、PHPの実行環境を含まないこと。3点目、画面側は静的ファイルとして配信しており、サーバー側でPHPを実行する仕組みを持たないこと。確認は2026年10月22日に実施しています。

出典

本件について個別にご確認が必要な場合、セキュリティに関するご質問、情報セキュリティ上の確認事項（調査票への回答など）は、お問い合わせからお受けしています。
お問い合わせ（無料）

この記事の発行者

Life concierge（石川県金沢市）

多拠点・遠隔で働くスタッフの接客品質マネジメントを支援し、接客音声をAIが客観採点するサービス「1on1コンシェルジュ」を開発・運営しています。

作成方針：脆弱性の情報はJPCERT/CCの注意喚起とPHP公式のChangeLogを原本で確認し、技術的な内容は報道および専門機関の公開情報に基づいて記載しています。当サービスの影響の有無は、本文に記した手順で運営者が実際に確認しています。

事業者情報