PHP2Shellへの対応を振り返って - コドモン Product Team Blog

何が起きたのか

PHPという言語の脆弱性が見つかりました。悪用されると、外部の人がサーバー上で好きなプログラムを動かせてしまいます。コドモンは修正版が出る前に、日中の時間帯にサービスを止めました。現時点で、この件による不正アクセスや情報漏えいは確認されていません。

数字で見るポイント

• 脆弱性の深刻度は10点満点中9.2で、最も重い「Critical（緊急）」です。
• 脆弱性は2件です（CVE-2026-109618とCVE-2026-109619）。
• 修正版の公開予定は日本時間10月21日23時でした。実際に公開されたのは10月21日22時38分です。
• 脆弱性を社内で把握してから、職員用管理画面を再開するまで約18時間かかりました。
• 停止したサービスは6つ（サービスサイトを除く）で、再開は10月22日に順次行われました。

なぜ今回は特別だったのか

重大な脆弱性は、ふつう修正版と同時に詳細が公表されます。そのため、運営会社はすぐに直せます。今回は、修正版の公開前に詳細が海外の掲示板などで広まり、再現に成功したと発表するセキュリティ企業も出ました。つまり、攻撃の手がかりはあるのに修正版はまだない、という状態が半日以上続きました。これが日中の停止を決めた大きな理由です。

なぜ大切なのか

停止は、子どもや保護者の情報を守るための判断でした。一方で、保育園や幼稚園の先生は登降園の記録や連絡ができなくなり、紙などでの代わりの方法が必要になりました。守ることと、サービスを使い続けてもらうことの間で、難しい判断が求められた出来事です。

今後の注目点

• 所在確認アラート機能は、10月23日9時に再開される予定でした。
• 今回の振り返りで、停止中の代わりの連絡手段や事前の案内がどう改善されるかが注目されます。
• 同じように修正版より先に詳細が広まる脆弱性が出たとき、各社がどう対応するかも見どころです。