PHPに深刻な脆弱性が見つかったことを受け、kintoneに関連するプラグインや連携サービスの提供企業が相次いで対応状況を公表している。

IPA（情報処理推進機構）は10月22日、PHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」について注意喚起を公開した。これらを組み合わせた攻撃は「PHP2shell」と呼ばれ、悪用された場合、遠隔の第三者によって任意のコードを実行される可能性がある。

kintone本体については、プラグイン提供企業のアントベアクリエイツが10月22日、サイボウズから「kintoneを含むクラウドサービスは今回の脆弱性について安全に利用できる」との案内を受けたと公表している。

一方、kintone関連サービスでは、一時的に提供を停止した製品があるほか、調査の結果、影響がないと確認された製品もある。

kintone関連プラグインが一時停止、受付システムでは一部機能制限も

M-SOLUTIONSが提供するkintoneプラグインおよび「Smart at tools for kintone」の各製品では、PHPの脆弱性への対応のため、10月22日に一時的にサービスを停止した。

同社はその後、対応と安全性の確認が完了したとして、同日午前2時30分ごろにサービスを復旧したと発表した。現在は問題なく利用できる状態としている。

また、同社の受付システム「Smart at reception」についても、PHPの脆弱性への対応に伴いサービスを一時停止した。

同サービスは10月23日午後9時5分ごろ、一部機能を制限した状態で提供を再開した。ただし、OutlookやGoogleカレンダーとの連携、受付履歴のCSV出力など、一部の機能については制限が残っており、引き続き対応を進めているという。

また、同社はPHP公式サイトが10月23日に公表した追加のセキュリティ情報についても、影響確認と対応を完了したと説明している。サービス停止の影響でiPadの受付アプリがログイン画面に戻っている場合があり、利用者に再ログインを求めている。

krewやジョイゾーの製品は「影響なし」

一方、kintone向けプラグインの「krew」シリーズを提供するメシウスは10月22日、今回のPHPの脆弱性について調査した結果、同シリーズへの影響はないと発表した。

対象となるのは「krewData」「krewSheet」「krewDashboard」で、利用者側で実施する作業もないとしている。

ジョイゾーも同日、同社が提供するすべてのkintoneプラグインと連携サービス、kintoneのカスタマイズサービスなどではPHPを使用していないため、今回の脆弱性による影響はないと発表した。利用者による特別な対応は不要という。

また、アントベアクリエイツは、同社のkintoneプラグインでPHPを利用している仕組みについて、すでに対応を完了したと発表している。利用者側での作業は必要ないとしている。

このように、kintoneと連携するサービスであっても、使用している技術やシステム構成によって影響の有無や対応状況は異なる。

kintone本体の10月23日の障害はPHPの脆弱性と無関係

サイボウズは10月23日、kintoneおよびメールワイズの一部利用者環境でサービス障害が発生したと発表した。

障害は同日午後4時52分から5時45分ごろまで発生し、全文検索が利用できない、kintoneの絞り込みが動作しない場合があるなどの事象が確認された。

同社によると、原因は社内で実施したシステム更新作業の手順の不備であり、PHPの脆弱性との関連はない。障害はすでに解消している。

今回のPHPの脆弱性について、IPAは、利用している製品やサービスへの影響を開発元やサービス提供元の情報で確認するよう呼びかけている。

kintone本体については安全性が確認されているものの、連携プラグインや周辺サービスでは、今回のPHPの脆弱性への対応状況が異なる。利用企業は、導入しているプラグインや連携サービスの提供元が公表する情報を確認し、機能制限や再ログインなど、必要な対応の有無を確認することが重要となる。