最終更新日: 2026年11月05日
平素より VoiceTube をご利用いただきまして、誠にありがとうございます。
2026年10月21日に、プログラミング言語「PHP」の脆弱性（CVE-2026-109618／CVE-2026-109619）、および「Node.js」の脆弱性（CVE-2026-111497 ほか全4件）に関する情報が公表されました。弊社サービスでもこれらの技術を利用しており、対応を進めてまいりましたが、修正を完了しましたことをご報告いたします。
「VoiceTube」「Hero」「Campus」の主要サイトすべてにて修正が完了しており、各サービスは通常どおりご利用いただける状態です。なお、モバイルアプリにつきましては、2つ目の脆弱性（Node.js）に関わる技術を使用しておらず、影響はございません。
今回の脆弱性は弊社のサーバー側に関するものであり、お客様のパソコンやスマートフォンに起因するものではないため、お客様側で必要な操作はございません。
実施いたしました対応を下記のとおりご報告いたします。
目次
１ 公表された脆弱性の概要
PHP「PHP2Shell」（CVE-2026-109618／CVE-2026-109619）
攻撃者がサーバー上でプログラムを実行できる可能性のある脆弱性です。The PHP Group（PHPの提供元）が、2026年10月21日に修正版を公開しています。
Node.js（CVE-2026-111497／106069／105482／105483）
2026年10月21日のセキュリティアップデートにて、4件の脆弱性が同時に修正されました。このうち CVE-2026-111497 は、米国のセキュリティ機関 CISA により、実際に悪用が確認されている脆弱性として公表されています。
２ 対応状況
サービスの洗い出し
脆弱性が公表された時点で、すべてのサービスを対象に、使用している技術とそのバージョンを確認いたしました。
暫定的な防御策の適用
修正版への切り替えに先立ち、公式が推奨する暫定的な防御策を適用いたしました。主要な部分は10月22日に、残りの2件は10月27日に完了しております。
修正版への切り替え
その後、主要なサービスを順次、公式の修正版へ切り替え、10月28日にすべて完了いたしました。使用しているバージョンは、PHPが 8.3.36、Node.js が 22.23.4 です。なお、一部のサイトでは Node.js をページの作成時にのみ使用しており、公開後は実行されないため、影響はございません。
稼働環境の確認
バージョン番号の確認にとどまらず、実際に稼働しているサイトを直接確認し、修正済みのバージョンが使用されていることを確認いたしました。
３ ご利用環境への影響
現時点で、本脆弱性によるお客様のご利用環境への影響は確認されておりません。すべての提供サービスで修正が完了しております。今後、お知らせすべき事項が生じた場合は、速やかにご報告いたします。
４ 関連報道
本件につきましては、以下の外部メディアでも報じられています。
PHP2Shell：TechCrunch「PHP-ocalypse: How two critical web bugs almost broke the internet」
今回の PHP の脆弱性の規模と深刻度を報じた記事です。
Node.js：BleepingComputer「CISA warns of hackers now exploiting critical Node2Shell flaw」
CISA が、この脆弱性を悪用した実際の攻撃を確認したこと、および政府機関に2週間以内の修正を求めたことを報じています。
ユーザーの皆様にご心配をおかけし、大変申し訳ございません。学校や提携先のご担当者様で、より詳しいご説明をご希望の場合は、担当の営業窓口までお問い合わせください。その他、本件についてご不明な点等がございましたら、下記までお気軽にご連絡ください。
今後も、皆様に安心して VoiceTube をご利用いただけるよう、引き続きセキュリティ強化のための対応を継続してまいります。
以上
