PHPの脆弱性への対応について

本件に関連し、Qikifyアプリシリーズの全アプリで修正が完了しており、修正版のPHPにて稼働しております。また、マーチャント様に行っていただく対応はございません。

PHPは、多くのWebサイトやWebアプリケーションで使われているプログラミング言語です。皆さまのパソコンや端末ではなく、サーバー上で稼働しています。

10月21日、CVE-2026-109618およびCVE-2026-109619として識別される、PHPの2件のセキュリティ上の脆弱性（総称「php2shell」）が公表されました。

この脆弱性は、特定の条件下で、攻撃者が脆弱なサーバー上で悪意のあるコードを実行したり、本来見られないはずのデータにアクセスしたり、Webサイトやアプリケーションの動作を妨げたりできる可能性があるものです。また、この脆弱性は、PHPの実行環境そのものに関わるもので、アプリケーションのプラグインやWebサイトのコードを更新するだけでは解決せず、サーバーで修正済みのPHPバージョンを稼働させる必要があるものです。

技術的な詳細は、PHP公式のセキュリティ情報をご参照ください。

Shopifyは、プラットフォーム本体のホスティングと保守を自社で行っており、Shopifyのプラットフォーム本体は、PHPで構築されているものではありません。そのため、今回のPHP脆弱性について、Shopify本体には関連がありません。

一方、サードパーティ製のアプリ（弊社のQikifyアプリシリーズも含む）は、Shopifyとは異なる技術や環境で稼働していることがあり、本件について無関係ではありません。

弊社開発のQikifyアプリシリーズは、PHPで稼働しております。

今回の公表を受け、直ちに最優先事項として取り扱い、以下の対応を行いました。

Qikifyアプリシリーズの全アプリは、Cloudflareを経由して稼働しています。Cloudflareは、脆弱性が公表される約9時間前の日本時間10月21日 12時02分に「php2shell」に対応するWebアプリケーションファイアウォール（WAF）を導入しました。

この防御は、弊社がPHPのセキュリティ更新を準備・適用するまでの間、脅威に対する第一の壁として機能し、安全を確保することができました。

暫定的な予防措置として、Qikifyアプリシリーズでは使用していないPHPの機能（セッションのアップロード進捗の追跡）を無効にしました。セッションやファイルのアップロードは通常どおり動作しておりました。この一時的な措置は、各アプリで修正済みのPHPバージョンが稼働した時点で解除しております。

上記の防御が機能している間に、Qikifyアプリシリーズの全アプリで、PHPの実行環境を公式の修正版へと更新いたしました。Cloudflareによる防御と一時的な強化設定は追加の防御であり、恒久的な対策は、Qikifyアプリシリーズの全アプリでPHPの実行環境を更新することでした。完了時刻は下記の表のとおりです。

弊社では、Sentryのエラーログおよびリクエストログを確認し、攻撃の痕跡がないかを調べました。これまでのところ、確認したログからは攻撃の痕跡は見つかっておりません。

日本時間2026年10月22日 12:07の時点で、Qikifyアプリシリーズの全アプリで修正が完了し、本番環境では修正済みのPHPバージョンで稼働しております。

PHPの開発チームは、2026年10月21日に、影響を受けるサポート対象のブランチ向けに以下の修正版を公開しました。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

これらのリリースは、CVE-2026-109618およびCVE-2026-109619を修正するもので、該当する修正版、または同じブランチでの修正を含む、より新しいリリースを稼働しているサーバーは、今回の脆弱性から保護されています。

詳しくは、PHPのセキュリティ情報およびCERT-EUセキュリティアドバイザリ 2026-018をご覧ください。

必要な対応はございません。Qikifyアプリシリーズについて、全アプリ、カスタムアプリを含めまして、現時点で必要なセキュリティに関する更新はすでに適用されております。

以下の対応は不要です。

• Qikifyアプリシリーズの更新・再インストール
• Shopifyの設定の変更
• テーマやチェックアウトの設定の変更
• 今回の修正を依頼するためのサポートへのお問い合わせ

本件に関する修正は、すべて弊社のサーバー側で行っております。Qikifyアプリシリーズの全アプリは、これまで通り、安全にご利用いただけます。

Shopifyアプリの安全性は、アプリの開発元がサーバーをどのように保守・管理しているかに左右されます。さらに、障害やトラブルが発生した場合に迅速に対応できるだけの情報収集力、技術、人員、補償などを含む保守・管理体制が整っているかどうかも、アプリの安全性を考えるうえで重要です。

AIを使ったハッキングや攻撃の脅威が現実のものとなりつつある今、セキュリティを確保することはさらに難しくなり、対応は複雑化しています。その中で、弊社はセキュリティに関する情報に常に注意を払い、迅速かつ慎重に対応し、現在できうる限り安全な環境を保つことを、お客様にお約束します。

Qikifyアプリシリーズは、開発チーム、プロダクトチーム、サポートチームが、それぞれ異なる立場から連携し、品質と安全性の確保に努めています。これからも皆さまのご信頼にお応えできるよう、努力を惜しみません。

今後もシステムの監視を続け、必要に応じてセキュリティ更新を行ってまいります。

技術的な詳細は、以下をご覧ください。

• PHP公式のセキュリティ情報
• CERT-EUセキュリティアドバイザリ 2026-018
• Cloudflareによるphp2shellへの防御の概要

Qikifyアプリシリーズについてご不明な点がございましたら、サポートチームがお手伝いいたします。アプリ内のチャット、またはメール（support@qikify.com）から直接ご連絡ください。

日本語でのお問い合わせは、japanoffice@qikify.com でも承っております。

Qikifyチーム