お客様各位
平素より格別のご高配を賜り、厚く御礼申し上げます。
ハンズバリュー株式会社でございます。
2026年10月21日（水）の夜から23日（金）にかけて、PHP（ホームページを動かしているプログラム）に重大な脆弱性が公表されたことを受け、弊社で保守をお預かりしているお客様のホームページに緊急メンテナンスを実施いたしました。
10月23日をもちまして、弊社が管理するすべてのホームページのメンテナンスを解除し、通常どおりご覧いただける状態に戻っております。
このたびは、事前のご案内が十分にできないままホームページを停止し、お客様には多大なるご心配とご不便をおかけいたしました。心よりお詫び申し上げます。
本書では、弊社が何を行い、どのような結果となったのかを、あらためてご報告いたします。
1. ご報告の要点
- 弊社が管理するサーバーを点検した範囲では、ホームページの改ざんや不審なファイル、不正なログインの痕跡は見つかっておりません
- 10月23日までに、弊社が管理するすべてのホームページのメンテナンスを解除いたしました
- お客様の側で行っていただく作業はございません
- 事前のご案内が不足していた点につきましては、今後の対応を改めます（本書「6. 今後の取り組み」をご覧ください）
2. 今回の脆弱性について
10月21日の夜、PHPの開発元から、外部からの通信だけでサーバー上で不正な命令を実行されるおそれのある脆弱性が2件公表されました（CVE-2026-109618、CVE-2026-109619）。深刻度は10段階で9.2と、非常に高いものでした。
WordPressで作られたホームページの多くはPHPの上で動いているため、影響は広い範囲に及びます。修正済みのPHPは 8.2.35、8.3.36、8.4.27、8.5.12 で、それより古い版（7.4・8.0・8.1）には開発元からの修正が提供されないことも、あわせて公表されました。
3. 弊社が行った対応
(1) 公表前の準備（10月21日 昼〜夜）
公表の予告が報じられた時点で、弊社制作部は、切り替えが可能なホームページのPHPを新しい版（PHP 8）へ順次切り替えました。修正が出た際に、すみやかに適用できる状態にしておくためです。
同日夕方、大手レンタルサーバー会社が予防措置として管理画面を停止したため、一部のホームページは古い版のまま残ることとなりました。
(2) ホームページの一時停止（10月21日 深夜）
公表された内容を確認した結果、PHPを新しい版へ切り替えただけでは安全とはいえないと判断いたしました。修正済みのPHPがサーバーに適用されるまでの間、外部からの攻撃を受けないよう、次の対応を行いました。
- 保守契約のお客様へ「緊急メンテナンスのお知らせ」をメールでお送りしました
- 弊社が管理するホームページ（約100件）を、一時的に「メンテナンス中」の表示に切り替えました。作業の前に、元の設定はすべて保存しております
- 弊社が自社で運用しているサーバー（AIチャット等のサービス）も、一晩、外部からの接続を停止しました
(3) 安全の確認と順次の再開（10月22日）
- 朝より、弊社が管理するすべてのサーバーで、前日以降に変更されたファイルを確認し、改ざんや不審なファイルがないことを確かめました
- 各サーバー会社が修正済みのPHPを適用したことを、告知だけでなくサーバー上でも確認したうえで、確認できたホームページから順次メンテナンスを解除いたしました
- 解除したホームページは、弊社担当者が1件ずつ画面で表示を確認しております
- 弊社の自社サーバーにも修正済みのPHPを適用し、同日朝に通常どおりの運用へ戻しました
(4) すべての解除と完了のご連絡（10月23日）
個別の修正が必要だった最後の数件につきましても、同日中に解除いたしました。夜には、緊急メンテナンスをご案内したお客様へ、対策の完了と復旧のお知らせをお送りいたしました。
4. 被害の有無について
弊社で次の確認を行い、いずれも問題は見つかっておりません。
- ホームページのファイル：前日以降に変更されたファイルを洗い出し、すべてが弊社の作業またはプラグイン更新によるものであることを確認しました
- 弊社の自社サーバー：10月24日に、アクセスの記録とログインの記録を読み直し、プログラムの異常終了や、心当たりのないログインの痕跡がないことを確認しました
なお、外部から送られてきた通信の中身までは記録に残らないため、「攻撃がまったくなかった」とまでは申し上げられません。確認できたことと確認できないことを分けて、ご報告いたします。今後も監視を続けてまいります。
5. お客様へのお願い
お客様の側で行っていただく作業はございません。
ホームページの表示や、お問い合わせフォーム等の動きで気になる点がございましたら、お手数ですが下記までご連絡ください。
また、PHPの古い版（7.4など）でホームページを運用されているお客様には、今回の件とは別に、新しい版への切り替えをご提案させていただく場合がございます。WordPressのプラグインも新しい版にしか対応しないものが増えており、早めの切り替えをおすすめしております。
6. 今後の取り組み
今回の対応を振り返り、弊社では次の3点を改めてまいります。
(1) 事前のご案内を行います
今回は、公表された内容を受けてその夜のうちにホームページを停止したため、多くのお客様にとって、朝になって突然「メンテナンス中」の表示が出ている状態となりました。また、前日に作業完了をご連絡したお客様に、その数時間後に停止のご連絡をする形にもなりました。今後、同様の重大な警告が出された場合は、公表を待つ前の段階で「メンテナンスのお時間をいただく可能性がある」旨をお知らせいたします。お急ぎの際は、メールだけでなくお電話でもご連絡いたします。
(2) ホームページの状態を自動で把握します
弊社の監視システムでは、各ホームページのPHPの版を担当者が手作業で記録しておりました。今回、その記録が最新でなかったため、確認に時間を要しました。今後は、ホームページから自動で取得する方式に改めます。
(3) ご連絡先を正確に管理します
緊急のお知らせを一斉にお送りした際、ご連絡先の登録漏れ等により、一部のお客様にお知らせが届きませんでした。登録内容を全件見直し、緊急時に確実にご連絡できる体制を整えます。
7. お問い合わせ先
本件に関するお問い合わせは、下記までご連絡ください。
ハンズバリュー株式会社
電話：023-674-0797（平日 9:00〜17:00）
メール：support@handsvalue.jp
お問い合わせフォーム：https://tsunagu-hp.jp/contact/
あらためまして、このたびはご迷惑をおかけいたしましたことを深くお詫び申し上げます。今後とも変わらぬお引き立てを賜りますよう、よろしくお願い申し上げます。
ハンズバリュー株式会社
代表取締役 島田 慶資
補足：対応の時系列
| 日時 | 内容 |
|---|---|
| 10月21日（水）昼前 | 重大な脆弱性が当日夜に公表される旨の報道を確認 |
| 同日 午後〜夜 | 弊社制作部が、切り替え可能なホームページのPHPを新しい版へ順次切り替え |
| 同日 16時 | 大手レンタルサーバー会社が予防措置として管理画面を停止（一部ホームページの切り替えが不可能に） |
| 同日 22時40分頃 | PHPの開発元が脆弱性と修正版を公表 |
| 同日 23時35分 | 保守契約のお客様へ「緊急メンテナンスのお知らせ」をメールで送信 |
| 同日 23時37分〜40分 | 弊社の自社サーバー2台への外部からの接続を停止 |
| 10月22日（木）0時頃 | 弊社が管理するホームページ（約100件）を「メンテナンス中」の表示に切り替え |
| 同日 早朝 | 全サーバーで改ざん・不審なファイルの有無を確認（異常なし） |
| 同日 7時25分 | 弊社の自社サーバーに修正済みのPHPを適用し、接続を再開 |
| 同日 7時56分 | お客様へ続報（被害がないこと・順次再開すること）をメールで送信 |
| 同日 9時〜 | サーバー会社の修正適用を確認したホームページから、順次メンテナンスを解除 |
| 同日 午後 | レンタルサーバー会社が、古い版（PHP 7.4 等）への修正適用を発表。該当ホームページも順次解除 |
| 同日 19時頃 | 解除済みのホームページの表示確認がおおむね完了（残り2件） |
| 10月23日（金）昼〜夕方 | 個別の修正が必要だった最後のホームページを解除。弊社が管理するすべてのホームページのメンテナンスを解除 |
| 同日 19時30分 | お客様へ「対策完了とホームページ復旧のお知らせ」をメールで送信 |
| 10月24日（土） | 弊社の自社サーバーのアクセス記録・ログイン記録を確認（異常なし）。本ご報告を掲載 |