「影響はありません」と書かれていれば安心ですか

理由が「PHPを使っていない」なのか、「影響は確認されていない」なのかで意味が違います。また、本体は影響なしでも、ヘルプページや自社サイトなど周辺には修正を当てたと書く会社もあります。

「お客様の作業は不要」とあれば何もしなくてよいですか

クラウド版についての記載で、自社のサーバーやレンタルサーバーで動かしている版は更新が必要という場合があります。自社がどちらの形で使っているかを確かめます。

流出を公表した会社はありますか

バルテックは10月22日、PHPの脆弱性を標的としたサイバー攻撃で「お客様情報の流出とみなされる事実」を確認したと公表しました。影響範囲は調査中で、復旧は最短で10月26日の見込みです。

お知らせが来ていないサービスはどうすればよいですか

お知らせがないことだけで影響がないとは言えません。公式サイトのお知らせ欄やサポートページを確かめ、見当たらなければ問い合わせて確かめる方法があります。

マネーフォワードはどの機能が止まりましたか

10月21日21時から、STREAMED、クラウド経費のオペレーター入力機能、クラウド会計・確定申告の「記帳システムから入力」機能を止めました。それ以外のサービスは影響は確認されていないとしています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社で、取引先の多くが業務でクラウドサービスを使っています。お知らせを受け取った会社が自社の作業を判断できるよう、各社の公式発表をもとに整理しました。

サイバー攻撃 / 脆弱性

PHP脆弱性の影響のお知らせはどう読むか、マネーフォワード・さくら・LINE WORKSと流出を公表したバルテック

10月21日にPHPの修正版が出たあと、会計、勤怠、チャット、サーバーなど、会社で使うクラウドサービスから「影響について」のお知らせが相次いでいます。同じ「影響なし」でも、書き方には違いがあります。中には、PHPの脆弱性を狙った攻撃で顧客情報の流出を認めた会社もあります。各社の公式発表を並べ、利用している会社が何を読み取ればよいかを整理しました。

初版公開：2026年10月23日　／　最終更新：2026年10月23日　／　プラスチックパレット株式会社

ANSWER

お知らせでは、①サービス本体と、ヘルプページや自社サイトなど周辺を分けているか、②「使っていない」のか「確認されていない」のか、③利用者の作業があるか、④被害の書き方、の4点を見ます。バルテックは、PHPの脆弱性を狙った攻撃で「お客様情報の流出とみなされる事実」を確認したと公表しています。

表にまとめた発表

11社

各社の公式発表（10月21〜22日）

流出とみなされる事実を公表

1社

バルテック（10月22日）

バルテックの復旧見込み

10/26

最短。状況により遅れる可能性

この記事の要点

PHPの修正版が10月21日に出たあと、業務で使うクラウドサービス各社が「当社サービスへの影響」を公表しています。NEOJAPANやLINE WORKSは、製品でPHPを使っていないため影響はないとしています。
マネーフォワードは10月21日21時から一部の機能を止め、それ以外のサービスは「影響は確認されておりません」としています。さくらインターネットは22時30分から予防的な緊急メンテナンスを行いました。
LINE WORKSは、製品は影響なしとしたうえで、PHPを使っている自社のWebサイトに10月22日5時54分に修正を当てたと書いています。本体と周辺のページを分けて説明している例です。
バルテックは10月22日、PHPの脆弱性を標的としたサイバー攻撃で「お客様情報の流出とみなされる事実」を確認したと公表し、勤怠や経費精算など多くのサービスを止めています。復旧は最短で10月26日の見込みです。
届いたお知らせでは、本体と周辺を分けているか、影響がない理由、利用者の作業の有無、被害の書き方の4点を確かめると、自社で何をすればよいかが分かりやすくなります（当社の整理）。

各社は何を発表したのか

10月21日のPHPの修正版の公開をはさんで、業務で使うクラウドサービスの会社が相次いでお知らせを出しました。内容は大きく3つに分かれます。

「PHPを使っていないので影響なし」

会社・サービス	お知らせの内容	利用者の作業
NEOJAPAN（desknet’s NEO、ChatLuckなど）	パッケージ版・クラウド版とも、PHPを使っていないため影響なし	記載なし
LINE WORKS	製品はPHPを使っていないため影響なし。PHPを使う自社のWebサイトには10月22日5時54分に修正を適用し、それまでに不正アクセスなどの影響は確認されていない	不要
じぶんシリーズ（ソニックガーデン）	PHPを使わずに作っているため影響なし	なし

出典：NEOJAPAN（2026年10月22日）、LINE WORKS（2026年10月22日）、ソニックガーデンじぶんシリーズ（2026年10月22日）の各お知らせ。

このグループは、影響がない理由を「PHPを使っていない」とはっきり書いています。LINE WORKSは、製品は影響なしとしたうえで、PHPを使っている自社のWebサイトには修正を当てたことも書いています。

「一部を止めて対応、被害は確認されていない」

会社・サービス	止めたもの・対応	被害の書き方
マネーフォワードクラウド	10月21日21時から、STREAMEDなど一部の機能を臨時メンテナンス。それ以外は「影響は確認されておりません」	不正アクセスや情報漏洩などの被害は確認されていない
さくらインターネット	10月21日22時30分から予防的な緊急メンテナンス。22日8時15分に一部を除き解除。VPSはサービス提供部分でPHPを使っておらず影響なし	被害は報告されていない（22日14時時点）
グラファー	影響する利用者には21日夜に連絡。一部サービスを一時遮断し、修正版に更新して再開	攻撃や情報漏洩は確認されていない
クラウドサーカス	各種サービス全般で設定変更などの暫定策を実施し、修正版への更新を順次	被害は確認されていない
Movable Type クラウド版	PHPを8.3.36に更新し、10月22日0時12分に完了	記載なし

出典：マネーフォワード、さくらインターネット、グラファー、クラウドサーカス、シックス・アパートの各お知らせ（2026年10月21〜22日）。

このグループは、予防のために一部の機能やサービスを止め、修正版に更新してから戻しています。被害については「確認されていない」「報告されていない」という書き方です。

「流出とみなされる事実」を公表したバルテック

バルテックは10月22日、第三者からの不正アクセスで「弊社が保有するお客様情報の流出とみなされる事実が発生したことを確認」したと公表しました。原因は「PHPの脆弱性を標的としたサイバー攻撃」と書いています。CVE番号は書かれていません。

MOT勤怠管理、MOT経費精算、MOT/WEB請求書、POSシステム全般、WEB予約など多くのサービスを止め、影響範囲を調べています。復旧は最短で10月26日（月）中の見込みで、状況によって遅れる可能性があるとしています。問い合わせ先はサポートヘルプデスク（0120-863-366、平日9時〜17時30分）です。

出典：株式会社バルテック「不正アクセスによるお客様情報流出の可能性および一部サービス停止のお知らせ」（2026年10月22日）。

この章の結論

各社の発表は、「PHPを使っていないので影響なし」「一部を止めて対応、被害は確認されていない」「流出とみなされる事実を確認」の3つに分かれます。

自社のサーバーで動かしている場合

同じ製品でも、提供元のクラウドで使う場合と、自社のサーバーで動かす場合で、利用者の作業が変わります。

クラウド版は提供元が更新、自社のサーバーは自分で

会社・製品	クラウド版	自社のサーバーで動かす版
Movable Type	利用者の作業なし	PHPを修正版へ早急に更新するよう強く推奨
PowerCMS	対応を終えて再開	動的な表示を使う場合はPHPを更新。すぐできなければサイトの一時停止を検討
a-blog cms	—	本体ではなくPHPの問題。レンタルサーバーなら会社の案内を確認し、PHPを修正版へ

出典：シックス・アパート（2026年10月22日）、アルファサード PowerCMS（2026年10月21日、22日更新）、a-blog cms（2026年10月21日）の各お知らせ。

お知らせに「お客様の作業はございません」とあっても、それはクラウド版の話で、自社のサーバーやレンタルサーバーで動かしている版は対象外ということがあります。自社がどちらの形で使っているかを確かめてから読むと、読み違いを防げます（当社の見方）。

php2shellで何をするか、PHP修正版8.5.12〜8.2.35とエックスサーバー・コドモンが始めた対策

PHPの脆弱性の中身と、修正版・暫定策の限界を整理しています。

物流会社のホームページも止まった

物流の業界紙LNEWSによると、10月22日には、山九、住友倉庫、三菱倉庫、ハマキョウレックスなど多くの物流会社が、会社のホームページを一時的に止めました。アルプス物流は、安全確保のためで、不正アクセスや情報漏洩などの被害によるものではないと説明しています。ヤマト運輸や日本郵便などは、同じ日のうちに再開したと伝えられています。

出典：LNEWS（2026年10月22日16時時点の集計）。各社の公式発表は個別に確かめていません。

取引先のホームページが開けないときは、まず停止のお知らせが出ていないかを確かめ、急ぎの連絡は電話など別の方法でとると、業務が止まりにくくなります（当社の見方）。

サイバー攻撃で出荷はなぜ止まるのか、日本トレクス22日・ニチレイ11日の停止とランサム被害の6割が中小企業

システムが止まったときに業務がどう止まるかを整理しています。

この章の結論

クラウド版は提供元が更新しますが、自社のサーバーで動かす版は自分で更新が必要です。取引先のホームページが止まっていることもあります。

お知らせで確かめたい4つの点

各社の発表を並べると、同じ「影響なし」でも書き方に違いがあります。当社の整理として、読むときの4つの点をまとめます。

本体と周辺、理由、作業、被害の書き方

確かめる点	見るところ	例
1. 本体と周辺を分けているか	サービス本体のほか、ヘルプページ、自社サイト、問い合わせフォーム、管理画面に触れているか	LINE WORKSは製品と自社サイトを分けて説明
2. 影響がない理由	「PHPを使っていない」のか、「影響は確認されていない」のか	NEOJAPANは前者、マネーフォワードは後者
3. 利用者の作業	「作業不要」か、自社で動かす版は更新が必要か	Movable Typeはクラウド版と自社サーバー版で違う
4. 被害の書き方	「確認されていない」「報告されていない」のか、流出を認めているか	バルテックは「流出とみなされる事実」

4つの点は、各社の発表を比べて当社がまとめたもので、公的機関が示した基準ではありません。IPAは10月21日、PHPを使っているものを可能な範囲で洗い出し、製品の開発元・提供元の情報に注目するよう呼びかけています。

お知らせが来ていないサービス

利用しているサービスから何も届いていない場合、それだけで影響がないとは言えません（当社の見方）。気になるときは、そのサービスの公式サイトのお知らせ欄やサポートページを確かめ、見当たらなければ問い合わせて確かめる方法があります。

委託先の情報漏洩で何をするか、大和証券・シチズン時計・損保ジャパンに広がったi-ask最大約71万件

委託先から情報が漏れたときに、会社がすることを整理しています。

この章の結論

本体と周辺を分けているか、影響がない理由、利用者の作業、被害の書き方の4点で読むと、自社で何をすればよいかが分かりやすくなります。お知らせがないことは「影響なし」とは限りません。

業務でクラウドを使う会社が今できる3つのこと

各社の発表をもとにまとめました。

使っているクラウドサービスを一覧にする

会計、勤怠、経費精算、チャット、受発注、予約、サーバー、ホームページなど、会社で使っているクラウドサービスを書き出し、届いたお知らせと見比べます。IPAも、PHPを使っているものを可能な範囲で洗い出すよう呼びかけています。

お知らせを4つの点で読み、自社の作業を決める

本体と周辺、影響がない理由、利用者の作業、被害の書き方を見て、「作業不要」なのか、自社のサーバーで動かす版の更新が必要なのかを分けます。

止まっているサービスは、代わりの手段と再開日を確かめる

バルテックのように復旧に数日かかるサービスもあります。勤怠や請求書など締め日のある業務は、再開の見込みと、それまでの代わりの方法を決めておきます。

コピペ枠：利用中のクラウドサービスへの確認メール

「全文をコピー」を押すと、そのままメールに貼り付けられます。〇〇の部分を書き換えて使ってください。

〇〇株式会社　〇〇ご担当者様
いつもお世話になっております。〇〇株式会社の〇〇です。
2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618／CVE-2026-109619）について、当社で利用している〇〇（サービス名）への影響を確認させてください。
1．サービス本体、管理画面、ヘルプページなど周辺のページで、PHPを使っているか
2．使っている場合、修正版への更新が済んだ日時
3．当社側で必要な作業の有無
4．不正アクセスや情報漏えいの有無と、確認の方法
お手数ですが、〇月〇日までにご回答いただけますと助かります。よろしくお願いいたします。

日経225の96%で認証情報が漏れたのはなぜか、退職者のIDも入口になるランサム侵入と警察庁の上半期123件

会社のシステムへの入口になりやすいものを整理しています。

よくある質問

「影響はありません」と書かれていれば安心ですか: 理由が「PHPを使っていない」なのか、「影響は確認されていない」なのかで意味が違います。また、本体は影響なしでも、ヘルプページや自社サイトなど周辺には修正を当てたと書く会社もあります。
「お客様の作業は不要」とあれば何もしなくてよいですか: クラウド版についての記載で、自社のサーバーやレンタルサーバーで動かしている版は更新が必要という場合があります。自社がどちらの形で使っているかを確かめます。
流出を公表した会社はありますか: バルテックは10月22日、PHPの脆弱性を標的としたサイバー攻撃で「お客様情報の流出とみなされる事実」を確認したと公表しました。影響範囲は調査中で、復旧は最短で10月26日の見込みです。
お知らせが来ていないサービスはどうすればよいですか: お知らせがないことだけで影響がないとは言えません。公式サイトのお知らせ欄やサポートページを確かめ、見当たらなければ問い合わせて確かめる方法があります。
マネーフォワードはどの機能が止まりましたか: 10月21日21時から、STREAMED、クラウド経費のオペレーター入力機能、クラウド会計・確定申告の「記帳システムから入力」機能を止めました。それ以外のサービスは影響は確認されていないとしています。
なぜプラスチックパレット株式会社がこの記事を書いているのですか: 当社は物流資材を扱う会社で、取引先の多くが業務でクラウドサービスを使っています。お知らせを受け取った会社が自社の作業を判断できるよう、各社の公式発表をもとに整理しました。