2026年10月に相次いで公表された PHP・nginx・Next.js の脆弱性について、当社が提供するサービス、および開発・運用を担当するプロジェクトでの対応状況をお知らせします。
当社では、各脆弱性の公表後ただちに影響範囲の調査を行い、影響を受けるものから修正版への更新を進めております。当社のコーポレートサイトをはじめ、主要なサービスでは対応を完了しました。 残るプロジェクトについても、順次対応を進めております。
（2026年10月24日：対応状況を更新しました）
対応状況のまとめ
| 対象 | 主な脆弱性 | 当社の対応状況 |
|---|---|---|
| PHP | PHP2Shell（CVE-2026-109618・CVE-2026-109619） | 運用サーバーは修正済みパッケージに更新済み。旧バージョンで動作するプロジェクトは修正版への移行を実施中 |
| nginx | CVE-2026-42533・CVE-2026-42945 など | 運用サーバーにセキュリティ修正を適用済み。OS のサポートが終了したサーバーは OS 更新を含めて対応中 |
| Next.js | GHSA-673q-mjm6-r5xr・CVE-2026-96889・GHSA-p3m5-59mp-jv5r | 当社サイト・主要サービスを修正版（16.4.3）に更新済み。その他のプロジェクトも順次更新中 |
PHPの脆弱性（PHP2Shell：CVE-2026-109618・CVE-2026-109619）
2026年10月21日、The PHP Group は PHP に深刻度「緊急（Critical）」の脆弱性 2 件（CVE-2026-109618・CVE-2026-109619、通称「PHP2Shell」）を公表しました。悪用されると、PHP の実行プロセスの権限で任意のコードを実行される（リモートコード実行）おそれがあります。
| 系列 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1 以前には修正版が提供されず、最小限の緩和策のみが案内されています。該当するバージョンを使っている場合は、修正版が提供されている系列への移行が必要です。
当社の対応: 当社が運用するサーバーの PHP は、修正済みのパッケージに更新しました。修正版が提供されない旧バージョンで動作しているプロジェクトについては、PHP 8.2 系の修正版への移行を進めております。
nginx の脆弱性
nginx（エンジンエックス）についても、2026年に入り、細工した HTTP リクエストによってヒープバッファオーバーフローを起こし、サービス停止やコード実行につながるおそれのある脆弱性（CVE-2026-42533・CVE-2026-42945 など）が複数公表されています。
当社の対応: 当社が運用するサーバーの nginx に、公開済みのセキュリティ修正を適用しました。OS のサポートが終了しており、修正版のパッケージが提供されないサーバーについては、OS の更新を含めて対応を進めております。
Next.js の脆弱性
2026年10月14日、Next.js の開発元は、緊急度の高い脆弱性 3 件に対処するセキュリティアップデート（v16.4.1・v15.5.28）を公開しました。
use cache（Cache Components）を使う App Router アプリケーションでのリモートコード実行（GHSA-673q-mjm6-r5xr、Critical）- 画像最適化 API で SVG を処理する際のリモートコード実行（CVE-2026-96889、Critical）
- Server Actions を使う App Router アプリケーションでのサービス拒否（GHSA-p3m5-59mp-jv5r、High）
当社の対応: 当社のコーポレートサイトをはじめ、運用中の主要なサービスを最新の修正版（v16.4.3）に更新しました。影響を受ける機能（Server Actions・use cache・画像最適化）の利用状況もアプリケーションごとに確認しています。その他のプロジェクトについても、順次修正版への更新を進めております。
今後の対応
当社では、使用しているミドルウェアやライブラリの脆弱性情報を継続的に収集し、影響のあるプロジェクトに速やかに対応する体制をとっています。今後も、お客様のシステムを安全に運用できるよう努めてまいります。
自社のシステムが心配な方へ
「自社のサイトやシステムが今回の脆弱性の影響を受けていないか分からない」「確認や更新の手が回らない」といった場合は、お気軽にご相談ください。
- PHP・nginx・Next.js のバージョン確認と、影響有無の調査
- 修正版への更新作業、更新後の動作確認
- ソースコードがなくても実施できる AI脆弱性診断
ご相談はお問い合わせフォームから受け付けております。
