概要
2026年10月21日、PHPでWebリクエストを処理する環境に影響する重大な脆弱性2件が公表されました。条件が成立すると、認証されていない第三者にサーバー上でコードを実行されるおそれがあります。
当社は、セキュリティポリシーと標準技術に基づき、サーバー側のAPI・業務処理をRustで実装しており、PHPを採用していません。当社システムの依存先にも、PHPを利用するソフトウェア・実行環境はありません。この技術構成により、今回のPHPの脆弱性は当社システムの直接の影響対象ではなく、本件に伴うPHP更新やアプリケーションの修正は不要です。
本レポートは、2026年10月23日時点の当社の技術構成と、その裏付けとなるプログラムと設定の確認に基づく報告です。今回の脆弱性による当社の侵害や情報漏えいを報告するものではありません。
PHPとは
PHPは、WebサイトやWebアプリケーションのサーバー側の処理に使われるプログラミング言語です。今回の問題はPHPの実行環境に関するものであり、Webサービスすべてに共通する脆弱性ではありません。
対応状況
Tachyon・Library・Tachyonfield：当社の標準技術ではPHPを使用しておらず、これらのシステムとその依存ソフトウェア・実行環境にもPHPは含まれていません。今回の対応として、この技術構成とプログラムと設定との整合を確認しました。
確認したプログラムや設定内のPHPやWordPressへの言及は、企画資料、外部サービスのデータ項目、または攻撃を遮断するルールです。PHPを実行する構成やPHPへの依存を示すものではありません。
PHPを使用しない技術構成のため、本件に伴うアプリケーションの変更や本番への反映は行っていません。これは対象技術を使用していないことによる対応不要の判断であり、更新によって問題を解消したという報告ではありません。
安全性の確認と今後の対応
当社システムおよびその依存ソフトウェア・実行環境にPHPを採用していないことと、外部サービス提供者が内部で使用する技術は区別しています。外部サービス提供者の内部構成や、お客様が独自に管理するシステムについて、PHPを使用していないと表明するものではありません。
今後、標準技術や依存構成を変更する場合は、新たに採用する技術の脆弱性と影響を評価します。本件の対象外という判断は、他の脆弱性やすべてのセキュリティリスクがないことを保証するものではありません。
技術情報
公表日：2026年10月21日。調査・記録日：2026年10月23日。公表日は当社での事故発生日時を示すものではありません。事故発生日時および復旧日時は設定していません。
確認方法：当社から提示された採用技術・依存構成の情報と、Tachyon・Library・Tachyonfieldの保管されているプログラムと設定を照合しました。稼働中の全サーバー・全コンテナのパッケージ一覧の取得や、アクセスログ等を用いた侵害調査は今回実施していません。
対象：CVE-2026-109618（メモリ不足時の処理に関連するメモリ破損）およびCVE-2026-109619（解放済みメモリに関連する状態の残存）。PHP公式は、PHP-FPMやApacheのmod_php等を含む、Webリクエストを処理するPHP環境を対象として注意喚起しています。
修正版：PHP 8.2.35、8.3.36、8.4.27、8.5.12。OS・配布元が修正を取り込んだパッケージでは、提供元の案内に基づいて判断します。PHP公式は更新を推奨し、設定による緩和だけでは完全な対策にならないと説明しています。
一次情報：PHP公式セキュリティ告知
関連資料：当社のセキュリティポリシー ／ 当社の標準技術と設計原則