【対応完了】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）への対応について

2026年10月22日

平素よりオレンジメール・オレンジフォーム・オレンジセールスをご利用いただき、誠にありがとうございます。

2026年10月21日に公表された、プログラム言語「PHP」の重大な脆弱性（CVE-2026-109618／CVE-2026-109619）について、当社サービスのすべてのサーバーで対応を完了いたしました。
お客さまに行っていただく操作や設定の変更はございません。

読者さま・購入者さまの大切な個人情報をお預かりしているサービスとして、当社が行った対応を、以下のとおりご報告いたします。

どのような脆弱性か

• Webサイトに細工をした送信を行うことで、サーバーの上で不正なプログラムを動かされるおそれがある脆弱性です。
• PHPで動いている世界中のWebサイトが対象となる、重大度の高いものです。

当社の対応

【10月21日（公表当日）の夜】
攻撃の入り口を狭める設定を、すべてのサーバーに入れました。

• 攻撃に使われる機能（アップロードの進み具合の記録）を止めました。
• ファイルを添付した送信は、必要な画面（CSVの取り込みなど）以外では受け付けないようにしました。
• 一度に送れる量に上限を設けました。

【10月22日の0時すぎ〜正午すぎ】
脆弱性そのものの修正を、すべてのサーバーに適用しました。

• 当社のサーバーの一部は、PHPの開発元が公開した修正版の対象外となる、古いバージョンのPHPで動いています。
• 開発元は、古いバージョンのPHPを自分で組み立てて使う人向けに、修正の内容を公開しています。当社の技術者がこの修正と元のバージョンとの差分を調べ、同じ考え方の修正を、当社のPHPの該当箇所に移し替えました。
• 新しいバージョンのPHPで動いているサーバーには、開発元の修正版（8.4系）を適用しました。
• いずれも、試験用の環境で動作を確かめたうえで適用し、適用後も各画面が正常に動いていることを確認しております。

対応したサービスの範囲

• オレンジメール・オレンジフォーム・オレンジクラウド（ログイン）：登録フォーム、ログイン画面、管理画面、メールの中のリンク（配信停止・クリックの計測）、開封の計測（メールの中の画像）に、上記の対策と修正を適用済みです。
• HTMLメールの画像をお預かりする仕組み（API）：開発元の修正版（8.4系）を適用済みです。
• オレンジセールス：開発元の修正版（8.4系）を適用済みです。
• メールを配信するサーバー：外部からのWebの送信を受け付けない作りのため、今回の脆弱性の対象ではございません。

以上の対応を、2026年10月22日の正午すぎまでに、すべて完了しております。

不正アクセスの確認

10月20日から22日までのサーバーの記録を確認し、今回の脆弱性を狙った不正なアクセスの痕跡は、現時点で見つかっておりません。

万一、お預かりしている情報に関わる不正アクセスが見つかった場合は、判明から24時間以内に、ご登録のメールアドレスへ第一報をお送りし、あわせて本サポートサイトのお知らせに掲載いたします。

PHPのバージョンの表示について

当社のWebサイトが応答の中で表示していた、PHPなどのバージョンの情報は、10月22日に、すべてのサーバーで表示しない設定に変更いたしました。

• バージョンが見えると、そのバージョンの既知の弱点を狙った攻撃の標的になりやすくなるためです。
• セキュリティの点検の基準でも、一般によく推奨されている設定です。代表的なものに、CIS（米国のセキュリティ団体）のサーバー設定の基準と、OWASP（Webのセキュリティの国際的な団体）の指針があります。

今後について

古いバージョンのPHPにも、開発元が修正したものと同じ脆弱性への修正を適用済みですが、この移し替えは当社が行ったもので、PHPの開発元が保証するものではございません。
根本的な対策として、開発元のサポートが続いている新しいPHPへの移し替えを進めてまいります。

 

ご不明な点がございましたら、どうぞお気軽にお問い合わせください。
今後とも何卒よろしくお願い申し上げます。

株式会社オレンジスピリッツ
オレンジメール サポートチーム