平素より弊社サービスをご利用いただき、誠にありがとうございます。

2026年10月21日、WebサイトやWebシステムで広く利用されているプログラミング言語「PHP」において、重大なセキュリティ上の脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。
本脆弱性は、悪用された場合、第三者による不正なプログラムの実行、Webサイトの改ざん・乗っ取り、情報漏洩、サーバの不正利用など、重大な被害につながる可能性があるものです。
弊社では、お客様のWebサイトへの被害を未然に防ぐため、本件を重要なセキュリティ事案として認識し、緊急の調査および対策を進めております。
現時点における弊社の対応状況と、今後の方針について、以下のとおりご案内申し上げます。

1．今回公表された脆弱性について

今回公表された脆弱性は、PHP自体に存在するものであり、WordPressをはじめとする各種CMSや独自開発のWebシステムなど、PHPを利用する幅広いWebサイトが影響を受ける可能性があります。
特に、セキュリティサポートが終了している古いPHPバージョンでは、修正パッチが提供されていない場合があり、継続利用にあたって十分な注意が必要です。
本脆弱性は、認証を経ずに外部から不正なコードを実行される恐れのある重大なものであり、深刻度はCVSS v4.0で9.2と評価されています。
PHP開発元から修正版および暫定的な対策方法が公表されており、早急な対応が強く推奨されています。

2．弊社管理サーバにおける対応状況

弊社では、管理するサーバのPHPバージョンや稼働環境に応じて、以下の対策を実施しております。

（1）セキュリティ修正パッチの適用【PHP 7.4以降：対応済み】

弊社管理サーバのうち、PHP 7.4以降を利用する対象環境については、今回の脆弱性に対応したセキュリティ修正パッチの適用を完了しております。
対象環境においては、現時点で本件に関する追加のバージョンアップ対応は予定しておりません。

（2）PHP開発元が推奨する暫定的な設定変更【PHP 5.4～7.2：順次対応中】

PHPのバージョンやサーバ環境の制約により、直ちに修正パッチを適用できない環境については、PHP開発元が公表している推奨設定を参考に、順次対策を進めております。
具体的には、メモリ管理、リクエストサイズの制限、セッション関連設定の変更など、各サーバ環境に応じた設定の見直しを実施し、攻撃を受ける可能性の低減を図っております。
ただし、これらの設定変更は、特定の攻撃経路に対するリスクを軽減するための暫定措置であり、脆弱性そのものを解消する完全な対策ではありません。
そのため、暫定措置を実施したWebサイトについても、引き続きPHPのバージョンアップ等による根本的な対策が必要となります。

（3）Webサイトの一時非表示およびPHPのバージョンアップ【旧PHP環境：個別対応】

PHP 5.3～7.2などの旧バージョンを利用し、現段階で適切な修正パッチを適用できないWebサイトについては、必要に応じて、以下の対応をご案内しております。

① Webサイトの一時非表示

セキュリティリスクを低減するため、Webサイトを一時的に非表示とし、弊社指定のメンテナンス画面に切り替える対応です。
この場合、Webサイトの閲覧やお問い合わせフォームなどの機能が一時的に利用できなくなります。
なお、単にメンテナンス画面を表示するだけでなく、対象となるPHPプログラムへの外部アクセスを遮断するなど、必要な措置を実施いたします。

② PHPのバージョンアップ

セキュリティ修正済みのPHP 8.3系など、対応可能な新しいバージョンへ更新し、必要なプログラム調整を実施する対応です。
ただし、旧バージョンのPHPを利用しているWebサイトでは、システムの互換性等の問題により、バージョンアップ後に一部機能が正常に動作しなくなる可能性があります。
特にPHP 5.3などの古い環境については、大幅なプログラム調整が必要となる場合があり、通常より作業期間を要する可能性がございます。
また、管理画面のアクセス解析機能など、一部の従来機能については、更新後に利用できなくなる場合がございます。

3．他社管理サーバをご利用のお客様へのお願い

弊社以外のサーバ会社が管理する環境をご利用の場合、弊社ではセキュリティ修正パッチの適用状況を直接確認できない場合がございます。
お手数をおかけいたしますが、ご利用中のサーバ会社へ、今回のPHP脆弱性への対応状況をご確認くださいますようお願いいたします。
修正パッチが未適用の場合は、サーバ会社への対応依頼やPHPのバージョンアップなど、早急な対策をご検討ください。

なお、PHPのバージョンアップに伴い、Webサイトが正常に表示されなくなる、管理画面やお問い合わせフォームなどの一部機能が利用できなくなるといった不具合が発生する可能性がございます。
そのため、PHPのバージョンアップを実施される場合は、事前に弊社担当者へご相談くださいますようお願いいたします。

4．今後の対応方針について

現在、弊社では多数のWebサイトについて緊急対応を進めております。
各WebサイトのPHPバージョンやシステム構成、取り扱う情報の重要度、個人情報の有無などを総合的に判断し、セキュリティリスクの高い環境から優先的に対応を実施しております。
そのため、Webサイトの状況やご依頼のタイミングによっては、対応までにお時間をいただく場合がございます。

また、対応対象となるWebサイトについては、必要に応じて弊社担当者より個別にご連絡し、バージョンアップや一時非表示などの対応方針をご案内いたします。
なお、修正パッチの適用が困難な環境については、対策が完了するまでの間、脆弱性によるリスクが残るため、Webサイトの一時非表示を含めた対策を推奨しております。
弊社では、引き続き最新のセキュリティ情報を収集し、状況に応じて必要な対策を実施してまいります。

5．その他のセキュリティ対策について

弊社管理サーバでは、外部からの不正なアクセスや攻撃を検知・遮断するWAF（Web Application Firewall）によるセキュリティ対策を実施しております。
ただし、WAFはすべての攻撃を防止できるものではなく、今回の脆弱性を完全に解消するものではありません。
そのため、WAFによる防御に加え、PHPの修正パッチ適用や暫定的な設定変更、必要に応じたWebサイトの公開制限など、複数の対策を組み合わせて対応しております。

6．お問い合わせについて

本件に関するご不明点や、ご利用中のWebサイトのセキュリティ対策、対応状況などについてご相談がございましたら、弊社担当者、または下記お問い合わせ窓口までご連絡くださいますようお願いいたします。

【ステージグループ お問い合わせ窓口】
お問い合わせ｜AIを活用したデジタル戦略支援のステージグループ

なお、現在、多数のお客様への対応を順次進めているため、お問い合わせの内容によっては、ご回答までにお時間をいただく場合がございます。あらかじめご了承くださいますようお願いいたします。
お客様にはご心配とご不便をおかけいたしますが、弊社ではWebサイトの安全性確保を最優先に、引き続き迅速かつ適切な対応に努めてまいります。
何卒ご理解とご協力を賜りますよう、よろしくお願い申し上げます。