コドモンの PHP2Shell 対応

コドモンの PHP2Shell 対応は、保育・教育施設向けの業務支援サービスを運営するコドモンが、2026年10月21日に PHP の脆弱性 PHP2Shell への予防策として、主要なサービスを日中に止めた対応である。修正版の公開を待たずに自前でビルドした PHP を用意し、翌22日の未明に主要な機能を再開した。同社のプロダクト開発部長の松浦が、社内の Slack や会議の記録をもとに振り返りの記事を公開した¹。

背景

PHP2Shell は、外部からサーバー上で任意のプログラムを実行できる2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称で、深刻度は10点満点中9.2の Critical である。コドモンの主なシステムは PHP で動いている¹。

PHP の開発チームは日本時間10月21日4時33分に、脆弱性の存在と、同日23時に修正版を公開する予定を発表し、詳細は伏せた。ところが修正版の公開前に情報が海外の掲示板などで広まり、再現に成功したと公表するセキュリティ企業も現れた。修正版が無いまま攻撃の手がかりだけが出回る状態が半日以上続くことになり、これが日中の停止を決めた最大の理由になった¹。

経緯

社内で情報を把握したのは9時1分である。当初は止めずに23時の修正版を待つ方針だったが、11時37分には夜間に止める方針へ変わった。その後、修正版の公開前でも攻撃の成り立つおそれが出てきたため、12時37分に経営メンバーと緊急停止を決めた¹。

13時ごろからサービスを順に止め、14時49分にすべての停止を終えた。停止を利用者に知らせた第1報は、止めた後の14時ごろだった¹。

17時29分、修正版のパッケージがすぐ届かない場合に備え、自分たちで PHP をビルドする準備を始めた。もとの計画には無く、待っていて大丈夫かと考えたエンジニアが調べ始めたものである。22時30分に13人で夜間の作業に入り、22時38分に修正版と脆弱性の詳細が公開された¹。

10月22日3時22分に、職員用の管理画面、保護者向けの連絡帳アプリ、打刻のコドモンレコを再開した。研修動画のコドモンカレッジ、園児募集支援のホイシル、通販のコドモンストアは同日中に、所在確認アラートの機能は23日9時に再開した。情報を把握してから職員用の管理画面を再開するまでは約18時間だった¹。

影響

停止中は、登降園の打刻、施設と保護者の連絡、アンケートの回答、支払いなどができなくなり、施設は紙での記録などで代わりにしのいだ。同社は、停止は攻撃を受けたためではなく予防的な措置であり、本件による不正アクセスや情報漏えいは確認されていないとしている¹。

振り返り

同社は、配布元の修正版を待たずに再開できる構成を23時より前に用意していたことを、うまくいった点に挙げた。これが無ければ朝の登園に間に合わなかったという¹。

反省点としては、システムごとに PHP をどこから受け取り、届くまでにどれだけかかるかを事前に整理できていなかったこと、構成の違う一部のシステムが自前ビルドの準備から漏れたこと、作業が深夜に集中したことを挙げた。最も大きな反省は、利用者への事前の案内が十分にできず、予防的な停止であることも分かりやすく伝えられなかったことだとしている¹。

出典

1. 松浦「PHP2Shellへの対応を振り返って」コドモン Product Team Blog、2026年10月23日。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰