2026年10月、PHPに複数の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。
悪用されると、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。すでに悪用を試みる通信が観測されており、早急な対策が必要です。
抹茶SNS・抹茶請求書のオープンソース版が動作の前提としているPHP 5.6は、すでに公式サポートが終了しており、今回の脆弱性の修正版は提供されません。
オープンソース版をインターネットに公開して運用しているお客様は、PHP 8.3に対応した有償版への移行をご検討くださいますようお願い申し上げます。
1) PHPの脆弱性の内容
- CVE-2026-109618
- CVE-2026-109619
[内容] 悪用されると、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。
[状況] 悪用できると主張する実証コードが多数公開されており、悪用を試みる通信も観測されています。
詳しくは、JPCERTコーディネーションセンター(JPCERT/CC)の注意喚起をご参照ください。
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
2) 影響を受けるPHPのバージョンと修正版
- PHP 8.5系: 8.5.12より前（修正版8.5.12）
- PHP 8.4系: 8.4.27より前（修正版8.4.27）
- PHP 8.3系: 8.3.36より前（修正版8.3.36）
- PHP 8.2系: 8.2.35より前（修正版8.2.35）
- PHP 8.1以前: 修正版は提供されません
3) オープンソース版をご利用の皆様へ
抹茶SNS・抹茶請求書のオープンソース版は、PHP 5.6での動作を前提としております。
PHP 5.6には今回の脆弱性の修正版が提供されないため、PHPの更新による対策ができません。
なお、オープンソース版のダウンロードは現在停止しております。新バージョンは2027年3月までのリリースを予定しております。
現在オープンソース版をご利用のお客様は、セキュリティの観点から、PHP 8.3に対応した有償版への乗り換えをご検討くださいますようお願い申し上げます。
4) 有償版について
抹茶SNS・抹茶請求書の有償版は、PHP 8.3に対応しております。
PHPを修正版（PHP 8.3.36以降）に更新したうえで、安心してご利用いただけます。
オープンソース版から有償版への移行も、ぜひご検討ください。
[価格]
- 抹茶SNSの有償版: 300,000円（税別）
- 抹茶請求書の有償版: 100,000円（税別）
2026年10月27日に、抹茶請求書の有償版の価格を300,000円（税別）から100,000円（税別）に改定いたしました。
今回のPHPの脆弱性による社会への影響を踏まえ、より多くのお客様に安全な環境へ移行していただけるよう、手に入りやすい価格で提供いたします。
有償版の詳細・お申し込みについては、各製品の有償版のご案内ページをご覧ください。
5) オープンソース版から有償版へ移行される方へ
有償版は、PHP 8.3に対応するためにプログラムを作り直しており、データベースの構成が大きく変わっています。そのため、オープンソース版のデータベースを、そのまま有償版で使用することはできません。有償版は、新しくインストールしてご利用いただくことをおすすめします。
オープンソース版のデータを引き継ぎたいお客様には、弊社にて有償でデータ移行のサービスも行っております。
データベースの主な変更点や、データ移行のお見積りに必要な情報は、各製品の案内ページをご覧ください。