いつもACTぴっとStage+をご利用いただき、ありがとうございます。
2026年10月21日、Webサービスで広く使われているプログラミング言語「PHP」に、深刻な脆弱性が2件公表されました（CVE-2026-109618、CVE-2026-109619）。当サービスのシステムもPHPを使用しているため、公表当日から影響と対策を確認し、以下のとおり対応を完了しておりますので、ご確認ください。
修正版への更新
- 10月21日夕方より、サーバー会社の暫定対策により、脆弱性の足がかりとなりうる一部の機能を停止しております。
- 10月22日未明（2時16分）に、サイトで使用しているPHPを、脆弱性が修正された最新版（PHP 8.4.27）へ更新いたしました。
- 更新後、サイトが実際に修正版で動作していることを確認しております。
- 裏側で自動的に動いている処理も含め、サイト全体が修正版で動作していることを合わせて確認済みです。
追加の防御策
- 修正版への更新に加えて、今回の脆弱性で悪用の足がかりとされたPHPの機能を停止いたしました。
- あわせて、一度に送信できるデータの上限を大幅に引き下げ、想定外の大きなデータを受け付けない設定にいたしました。なお、主催者様による公演画像の登録、購入者様の複数枚購入など、通常のご利用に影響はございません。
不正アクセス・改ざんの調査
- 脆弱性の公表前後の期間（10月19日以降）にサーバー上で変更されたファイルをすべて洗い出し、いずれも当社の正規の更新と一致することを照合しました。
- 画像などの保存先に、不審なプログラムが置かれていないことを確認しました。
- 管理者のアカウントが追加・変更されていないことを確認しました。
- サーバーへの接続の設定や、自動で動く処理の設定に、不正アクセスと思われる変更がないことを確認しました。
いずれも、現時点で不正なファイルの設置や改ざん、設定の変更などの形跡は見つかっておりません。こちらに関しては、監視ログを強化し、引き続き調査をしてまいります。
クレジットカード情報とパスワードについて
- カード番号・有効期限・セキュリティコードは、ご入力の際にお客様のブラウザからカード決済を行う決済代行会社へ直接送られる仕組みとなっており、当サイトのサーバーには送信・保存されていません。
- カードを登録されている場合も、カード情報は決済代行会社のシステムで管理されており、当サイトのサーバーには保存されておりませんのでご安心ください。
- 会員の皆さまのパスワードは、元の文字列に戻せない形（ハッシュ化）で保存しております。
10月22日13時現在、サービスは通常どおりご利用いただけます。お客様にお手続きいただくことはありません。
大切な情報をお預かりする立場として、今後も安全な運営に努めてまいります。
ご不明な点がございましたら、お問い合わせフォームからご連絡ください。
