【対応完了】PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）によるCrenaPluginへの影響について
お客様各位
平素より 「CrenaPlugin」 をご利用いただき、誠にありがとうございます。
株式会社Crena カスタマーサポートでございます。
【2026年10月22日 16時10分 更新】ホスティング事業者による修正パッチの適用を確認したため、対応状況を更新しました。
2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、CrenaPluginへの影響と当社の対応状況を以下のとおりご報告いたします。
- 本脆弱性への対応は完了しております。
- プラグインは引き続き通常どおりご利用いただけます。
- 現時点で、不正アクセスやお客様のkintone環境・データへの影響は確認されておりません。
PHPの使用有無
CrenaPluginの各プラグインは、kintone上で動作するJavaScriptで構成されており、PHPは使用しておりません。また、CrenaPluginのサーバーサイドアプリケーションにおいても、PHPは使用しておりません。
ただし、一部のプラグインが読み込む表示用ファイル（JavaScript・CSS等）の配信元である当社Webサーバーでは、PHPが稼働しております。
本脆弱性の影響有無
当社Webサーバーは本脆弱性の影響を受けうるバージョンであったため、10月21日夜に予防措置としてPHPの実行を停止いたしました。
配信している表示用ファイルはすべて静的ファイルのため、PHPを停止していた間も通常どおり配信されており、プラグインはこれまでどおりご利用いただけておりました。
また、配信中のファイルについては、10月21日夜から、PHPの運用再開後も含めて定期的に当社が管理するソースコードとの照合を行い、改ざんがないことを確認しております。現時点で、不正アクセスやお客様のkintone環境・データへの影響は確認されておりません。
当社の対策状況
2026年10月21日（水）夜、予防措置として当社WebサーバーにおけるPHPの実行を停止し、本脆弱性を悪用した攻撃が成立しない状態といたしました。
2026年10月22日（木）、ホスティング事業者による修正パッチの適用完了を確認いたしました。当社でも、サーバーのPHPが修正版に置き換わっていることを確認したうえで、PHPの運用を再開しております。
修正パッチ・アップデートの適用状況
適用済みです（2026年10月22日）。当社Webサーバーで稼働するPHPには、本脆弱性の修正パッチが適用されております。
今後の対応
本件の対応は完了いたしました。引き続き、配信している表示用ファイルの監視を行ってまいります。
表示用ファイルの配信元の切り替えについて
当社では現在、プラグインの表示用ファイルの配信元を、当社WebサーバーからAWS上の新しいCDNへ順次切り替えております。2026年9月30日のアップデートで7プラグイン、10月14日のアップデートで2プラグインの切り替えを完了しており、残りのプラグインについても順次切り替えを進めてまいります。
詳細は以下のお知らせをご覧ください。
ご不明な点がございましたら、お問い合わせフォームよりお気軽にお問い合わせください。
今後ともCrenaPluginをよろしくお願いいたします。
株式会社Crena
