2026年10月21日、PHPに関する2件のセキュリティ上の脆弱性が公表されました。セキュリティに関するニュースを目にすると、ご利用中のアプリは安全なのかと不安に思われる方もいらっしゃるかと存じます。本記事では、今回の経緯と、Qikifyアプリを守るために弊社が行った対応についてご説明いたします。
Qikifyの全アプリで修正が完了しており、本番環境では修正済みのPHPバージョンで稼働しております。マーチャント様に行っていただく対応はございません。
以下、知っておいていただきたいポイントをまとめました。
何が起きたのでしょうか？
PHPは、多くのWebサイトやWebアプリケーションで使われているプログラミング言語です。皆さまのパソコンやお客様の端末ではなく、裏側のサーバー上で稼働しています。
10月21日、CVE-2026-109618およびCVE-2026-109619として識別される、PHPの2件のセキュリティ上の脆弱性（総称「php2shell」）が公表されました。
この脆弱性は、特定の条件下で、攻撃者が脆弱なサーバー上で悪意のあるコードを実行したり、本来見られないはずのデータにアクセスしたり、Webサイトやアプリケーションの動作を妨げたりできる可能性があるものです。
この脆弱性はPHPの実行環境そのものに関わるものです。アプリケーションのプラグインやWebサイトのコードを更新するだけでは解決せず、サーバーで修正済みのPHPバージョンを稼働させる必要があります。
技術的な詳細は、PHP公式のセキュリティ情報をご参照ください。
また、最近公表されたNode.jsのセキュリティ上の脆弱性についてもお問い合わせをいただいております。Qikifyアプリは本番環境でNode.jsを使用していないため、こちらの脆弱性による影響はございません。
オンラインストアを運営する方への影響はありますか？
Shopifyは、プラットフォーム本体のホスティングと保守を自社で行っており、プラットフォーム本体はPHPで構築されているものではありません。
一方、サードパーティ製のアプリはShopifyとは異なる技術や環境で稼働していることがあり、その安全性は、各開発元がサーバーをどのように保守しているかにも左右されます。
Qikifyアプリをご利用の場合、弊社のインフラ全体で必要なセキュリティ更新はすでに完了しております。Qikifyの全アプリは本番環境で修正済みのPHPバージョンにて稼働しており、ストア側で変更していただく必要はございません。
Qikifyアプリへの影響はありますか？
QikifyアプリはPHPで稼働しているため、弊社は今回の公表を最優先事項として扱い、リスクを抑えて恒久的な修正を適用するための対応を直ちに行いました。
1. 脆弱性の公表前から追加の防御が機能していました。
Qikifyの全アプリは、Cloudflareを経由して稼働しています。Cloudflareは、脆弱性が公表される約9時間前の10月21日 03:02（UTC）に、php2shellに対応するWebアプリケーションファイアウォール（WAF）による防御を導入しました。
この防御は、弊社がPHPのセキュリティ更新を準備・適用するまでの間、追加の防御層として機能しました。
Cloudflareの対応について詳しくは、php2shellへの防御に関する技術解説をご覧ください。
2. Qikifyの全アプリで修正が完了しました。
Qikifyの全アプリで、PHPの実行環境を公式の修正版へと更新いたしました。すべての更新は本番環境に適用済みで、完了時刻は下記の表のとおりです。
3. セキュリティ監視のデータを確認しました。
Sentryのエラーログおよびリクエストログを確認し、攻撃の痕跡がないかを調べました。確認したログからは攻撃の痕跡は見つかっておらず、修正作業の間もアプリは安定して稼働しておりました。
修正の状況
2026年10月22日 10:07（UTC+7）の時点で、Qikifyの全アプリで修正が完了し、本番環境では修正済みのPHPバージョンで稼働しております。
| アプリ | 修正完了日時（UTC+7） | 修正後のPHPバージョン | 状況 |
|---|---|---|---|
| Qikify Upsell Cross-sell BOGO | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Slide Cart Drawer | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Custom Product Options | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Mega Menu & Navigation | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Sales Pop up & Proof | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Contact Form Builder | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Qikify Checkout Customizer | 10月22日 09:09 | 8.2.35 | 稼働中 |
| Koin Store Credit & Rewards | 10月22日 09:41 | 8.3.36 | 稼働中 |
| Mysbox Mystery Boxes & Bundles | 10月22日 09:45 | 8.3.36 | 稼働中 |
| Qikify Volume Discounts Bundle | 10月22日 09:45 | 8.3.36 | 稼働中 |
| Duos B2B Self-service | 10月22日 09:47 | 8.3.36 | 稼働中 |
PHPの開発チームは、2026年10月21日に、影響を受けるサポート対象のブランチ向けに以下の修正版を公開しました。
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
これらのリリースはCVE-2026-109618およびCVE-2026-109619を修正するものです。該当する修正版、または同じブランチで修正を含むより新しいリリースを稼働しているサーバーは、今回の脆弱性から保護されています。
詳しくは、PHPのセキュリティ情報およびCERT-EUセキュリティアドバイザリ 2026-018をご覧ください。
修正作業中の追加の防御策
恒久的なPHPの更新を適用するまでの間、弊社では以下の追加の安全対策を講じました。
- Cloudflare WAF：Qikifyの全アプリはCloudflareを経由して稼働しており、CloudflareのWAFによる防御が、今回の脆弱性を悪用しようとする攻撃に対する追加の防御層として機能しました。
- PHPの一時的な強化設定：暫定的な予防措置として、Qikifyアプリでは使用していないPHPの機能（セッションのアップロード進捗の追跡）を無効にしました。セッションやファイルのアップロードは通常どおり動作しておりました。この一時的な措置は、各アプリで修正済みのPHPバージョンが稼働した時点で解除しております。
- セキュリティ監視：Sentryのエラーログおよびリクエストログを確認し、攻撃の痕跡がないかを調べました。確認したログからは痕跡は見つかっておりません。
これらの対策により、修正作業中のリスクを抑えることができました。Cloudflare WAFと一時的な強化設定は追加の防御であり、恒久的な対策は、Qikifyの全アプリでPHPの実行環境を更新することでした。
マーチャント様側で必要な対応はありますか？
必要な対応はございません。Qikifyアプリをご利用の場合、必要なセキュリティ更新はすでに適用されております。
以下の対応は不要です。
- Qikifyアプリの更新や再インストール
- Shopifyの設定の変更
- テーマやチェックアウト設定の変更
- 本件の修正を依頼するためのサポートチームへのご連絡
修正作業はすべて弊社のサーバー側で行いました。Qikifyアプリはこれまでどおりご利用いただけます。
さらに詳しく知りたい方へ
技術的な情報については、以下をご覧ください。
Qikifyアプリについてご不明な点がございましたら、サポートチームがお手伝いいたします。アプリ内から直接、またはメール（support@qikify.com）にてお気軽にお問い合わせください。
Qikifyのセキュリティへの取り組み
Shopifyアプリの安全性は、開発元がサーバーをどのように保守・管理しているかに左右されます。また、障害や問題が発生した際に迅速に対応できる保守・管理体制（情報収集力、技術力、人員、そしてそれを支える報酬）が整っているかどうかも重要です。
AIを活用したハッキングや攻撃の脅威が現実のものとなる中、システムの安全を保つことはますます難しくなり、対応も複雑になっています。このような環境の中で、弊社はお客様に対し、常にセキュリティ情報に注意を払い、迅速かつ慎重に対応し、可能な限り安全な環境を維持し続けることをお約束いたします。
Qikifyアプリシリーズでは、開発・プロダクト・サポートの各チームがそれぞれの視点から連携し、品質と安全性の確保に取り組んでおります。今後も皆さまの信頼にお応えできるよう、努力を惜しみません。
引き続きシステムの監視を行い、必要に応じてセキュリティ更新を適用してまいります。今後ともよろしくお願いいたします。
— Qikifyチーム
あなたのビジネスをより強くする洞察に満ちた知識を手に入れましょう
「登録する」をクリックすると、Qikifyがお客様のメールアドレスにニュースレターを送信することに同意したものとみなされます。
詳しくは、プライバシーポリシーをご覧ください。
about the author
Lauren Nguyen
Qikify グロースマーケティングスペシャリスト
こんにちは！Qikifyのデータドリブンなマーケター、ローレンです。 私のミッションは、ShopifyをはじめとするECマーチャントの皆さまに、オンラインストアの成長と売上アップに直結する価値あるインサイトと効率的なソリューションをお届けすることです。 この業界に関わって以来、常に「皆さまの成功を後押しすること」を目標に、知識やノウハウを共有してきました。 マーケティングに夢中でないときは、美味しい朝のコーヒーで1日をスタートしています。（正直なところ、午後の一杯が必要な日も多いですが！☕） LinkedInでもお気軽にご連絡ください。マーケティング仲間やストアオーナーの皆さまとお話ししたり、新しいアイデアやコラボレーションの機会を見つけるのが大好きです。 一緒に、あなたのオンラインビジネスをさらに高みへと成長させましょう！
