kafkai.comの主要なサービスに、PHPは使っていません。2026年10月21日に公表されたPHPの脆弱性2件について、当社のサービスとお客様のデータに影響はありません。

お客様の側でしていただくことはありません。kafkai.comはいつもどおりお使いいただけます。

何が起きたのか

10月21日、PHPの開発チームが2件の重大な脆弱性を修正するアップデートを出しました。CVE番号はCVE-2026-109618とCVE-2026-109619で、2件あわせて「PHP2shell」と呼ばれています。深刻度はどちらもCVSS 4.0で9.2です。ログインしていない相手でも、サーバー上でコードを動かせてしまうおそれがあります。

修正版は8.5.12、8.4.27、8.3.36、8.2.35です。IPAも翌22日に注意喚起を出しています。修正版が出た当日には、すでに攻撃用のコードが出回り始めていました。

原因はアプリケーションではなく、PHPそのものにありました。自分たちで書いたプログラムに問題がなくても、影響を受けます。サーバー側の言語がわかっているサイトのうち、およそ7割がPHPで動いています（W3Techsの調査（英語））。WordPressもその一つです。国内外で、修正のための作業が急がれました。

Kafkaiが影響を受けない理由

KafkaiはPythonでつくっています。PHPは入っていないので、当てるべき修正も、上げるべきバージョンもありません。

PHPの該当パッチが出たあと、お客様が実際に触れる部分を調べました。ログインして使うWebアプリ、AIエージェントがつなぐAPI、データを更新する処理です。いずれもPythonで動いていて、お客様のブラウザからデータまでにPHPは介在しません。結果は想定どおりでした。この経路に変更があれば、この記事でお知らせします。

ドメインの確認は、DNSのTXTレコードかメタタグで行います。サーバーへのアクセス権も、データベースのパスワードも、お預かりしません。お客様の環境に触れる部分が少ないほど、壊せるものも少なくなります。

PHPについて

PHPはいい言語です。これからも使って問題ありません。

当社がPythonを選んだのは、つくるものに合っているからです（長年Pythonコミュニティに携わっていることもある）。PHPに見劣りするところがあるからではありません。言語には、それぞれの目的と持ち場があります。同じ業界で働く者どうし、他の言語の悪口を言うつもりはありません。広く使われるソフトウェアには、脆弱性がつきものです。大事なのは、修正がどれだけ早く出て、どれだけ早く当てられるかです。

この種の脆弱性は、どの言語にも起こります。PHPをお使いのお客様が、すぐにPHPをやめる必要はありません。早めにパッチを当ててください。

これは他人事ではありません

2件のうち1件は、AIが見つけました。OpenAIの発表（英語）によると、セキュリティ企業CalifがGPT-5.6 Solを使って1件を見つけています。GoogleのWizも、独自にAIを使って2件とも見つけていました。今回は、攻撃側より先に防御側が動けました。ただし、同じ力は攻撃側の道具づくりも速めると、OpenAIは認めています。

修正版が出てから攻撃が始まるまでの時間は、数週間から数時間に縮みました。言語を問わず、どのサービスも備えておく必要があります。今回、当社に影響がなかったのは、当社が特別だからではありません。次は、当社が使っているライブラリかもしれません。だから監視を続けます。

お客様のデータを守るために

サービスを動かすのに要らない情報は取りません。持っていないデータは漏れません。今週始まった話ではなく、ずっと前からの方針です。他社のCMSの脆弱性が、当社のお客様のデータの危険にならないのは、そういうことです。

当社が持っているのは、アカウントのメールアドレス、プロジェクトと競合サイトの設定、どこに何を公開したかの記録くらいです。記事そのものは当社では書きませんし、保存もしません。失うものが少なければ、漏れるものも少なくて済みます。

依存ライブラリは常に最新にし、使っている部品のセキュリティ情報は欠かさず追っています。同じ考え方は、今月の「攻撃は安く、防御は高く」という記事にも書きました。要は、集めている項目を全部書き出して、理由を説明できないものは消すことです。

オープンソースはタダではありません

今回の修正を書いたのは、サポート契約のある企業ではなく、人でした。PHPに持ち主はいません。PHP Foundationは、PHPを使う企業がお金を出し合って、開発者を支える仕組みです（The PHP Foundation（英語））。保守もセキュリティも、その人たちが担っています。

企業が出さなければ、この仕組みは回りません。PHPはタダで使えます。タダで保守できるわけではありません。

私自身も、長いあいだPythonコミュニティで過ごしてきました。Python Software Foundation（PSF）のフェローです。2024年には、アジア太平洋地域での活動が認められ、PSFのコミュニティサービス賞をいただきました。対象は、PyCon Malaysia、PyCon APAC、PyCon Japanでの仕事です。2013年には、PyCon JPを運営する非営利団体の立ち上げにも関わりました。

2024年には、Python Asia Organization（PAO）の設立メンバーになりました。PAOは地域カンファレンスの名前とインフラを持ち、エグゼクティブ・ディレクターに給与を払っています。ボランティアの善意だけでは、続かなかったからです。

企業にできることは、3つあります。

  • お金：カンファレンスやPSFのスポンサー、メンテナーの給与
  • インフラ：サーバー、CIの時間、会場、渡航費の助成
  • 資産：デザイン、翻訳、法務の確認、社員の時間

できる範囲で構いません。寄付の話ではありません。すでに頼っているものを、自分たちで維持する話です。

お客様にしていただくことはありません

Kafkaiのアカウント、プロジェクト、データに影響はありません。修正を当てる必要も、ログインし直す必要も、パスワードを変える必要もありません。

ご自身のサイトをお持ちでなければ、確かめていただくことはありません。運用を外部に任せている場合は、この記事をその担当者に転送してください。

ご自身のサイトでPHPを使っている場合は、今すぐ修正してください。8.1以前はサポートが終わっていて、修正版が出ません。OpenAIが公開している確認ツール（英語）を使えば、サイトやサーバーが影響を受けるバージョンかどうかがわかります。週末まで待たないでください。

今後も警戒を続けます。もし当社のサービスに関わる問題が起きたら、すぐに、わかりやすくお伝えします。7月に当社のドメインをかたるフィッシングメールの注意喚起を出したときと同じです。この記事についてのご質問は、[email protected] までお寄せください。