カゴヤ・ジャパン、PHP脆弱性の対応を更新、契約プランで対応状況が分かれる

カゴヤ・ジャパンは2026年10月23日、PHPの脆弱性2件に関するサービスの対応状況を更新しました。レンタルサーバープランでは修正版への更新が完了した一方、恒久的な対応方針を調整中のプランも残っています。利用企業は、契約プランごとに更新状況と暫定策を分けて確認する必要があります。

レンタルサーバープランは修正版へ更新済み

対象は、Webサイトなどで使われるプログラミング言語PHPの脆弱性、CVE-2026-109618とCVE-2026-109619です。CVEは、個々の脆弱性を区別するための識別番号です。

同社によると、レンタルサーバープランでは2026年10月22日に順次更新作業を実施しました。更新対象はPHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系です。これらの脆弱性修正版への更新は完了したとしています。

今回の案内は、カゴヤ・ジャパンの全プランで対応が完了したという内容ではありません。契約書や利用明細にあるプラン名と、社内で管理しているWebサイトの対応関係を確かめることが、判断の出発点になります。

恒久対応を待つ3プランは暫定策の検討を

共用サーバープランでは、恒久的な対応方針がまだ決まっていません。マネージド専用サーバープランとWordPress専用サーバープランも、引き続き調整中です。同社は、この3プランを利用する場合の暫定策として、サイト公開停止やアクセス制限を検討するよう案内しています。全利用者のサイトを停止したという発表ではありません。

同社によると、現時点で今回の脆弱性を悪用した攻撃や情報漏えい等は確認されていません。ただし、被害が確認されていないことと、恒久対応が完了していることは別です。社内への報告でも、この2点を分けて伝える必要があります。

対応方針が決まり次第、同社のお知らせページで案内する予定です。恒久対応を調整中のプランを使う企業は、続報を確認する担当者を決めておきたいところです。

影響する会社・しない会社

• 影響する: 共用サーバープランでサイトを運用する会社です。恒久対応の方針は調整中のため、公開停止やアクセス制限を検討する対象です。
• 影響する: マネージド専用サーバープラン、またはWordPress専用サーバープランを契約している会社です。こちらも恒久対応は未確定で、暫定策の検討が必要です。
• 影響しない: レンタルサーバープランで、今回更新対象となったPHP各系統を使う会社は、上記3プランのように恒久対応の方針を待つ対象ではありません。同社は修正版への更新完了を案内しています。

これら以外の環境について、影響の有無は発表には書かれていません。「カゴヤ・ジャパンを利用している」という情報だけで、社内の全サイトを対応済みに分類しないことが重要です。

情シスが今日やること

以下は利用企業側への確認手順の提案です。同社が利用者に指定した作業期限ではありません。

1. 今日、契約書・利用明細とWebサイトの管理台帳を照合します。サイトごとに契約プラン名と利用中のPHPの系統を整理してください。確認に使う管理画面の名称や操作場所は、発表には書かれていません。不明な項目は、運用担当者や委託先に確認します。
2. 恒久対応を調整中のプランが見つかったら、サイトの業務責任者と運用委託先に状況を共有します。公開停止やアクセス制限を行う場合の業務影響を確認し、暫定策を採るかどうかの判断担当者と判断期限を社内で決めてください。
3. レンタルサーバープランは、更新対象のPHPの系統と照合し、管理台帳に更新完了の案内日と確認結果を残します。ほかのプランまで対応済みとして扱わないよう、確認範囲も記録します。
4. 同社のお知らせページを確認する担当者と次回の確認日を決めます。続報が出たら、未確定だった対応方針をサイトごとの記録に反映し、業務責任者と委託先へ知らせてください。