【続報】PHP脆弱性への対応完了と、サイトの安全確認のお知らせ｜Pullaway

いつもPullawayをご覧いただき、ありがとうございます。10月22日にお知らせしたPHP脆弱性への対策状況のお知らせの続報です。10月23日に、サイトのファイルの安全確認を行いました。

結論からお伝えすると、確認した範囲で、改ざんや不審なファイルは見つかりませんでした。サイトを見てくださっている皆さまに必要な操作はありません。日程や結果、順位表は、これまでどおり安心してご覧ください。

これまでの経緯

• 10月21日：PHPの開発元が、外部から悪用されるおそれのある重大な弱点（識別番号：CVE-2026-109618、CVE-2026-109619）を公表しました。
• 10月22日未明：公表を受けて、攻撃の入口の一部をふさぐ応急の設定を行いました。
• 10月22日：利用しているレンタルサーバー会社が、サーバーのPHPに修正を適用しました（同社の発表では20時45分に完了）。
• 10月23日：修正がPullawayに反映されていることを確認し、あわせてファイルの安全確認を行いました。

安全確認の結果（10月23日）

念のため9月3日までさかのぼって、サイトのファイルに手が加えられていないかを確認しました。

• WordPress本体のファイルのうち、期間中に変更があったものを、WordPress公式が公開している正しいファイルの情報と照合し、すべて一致しました。
• 期間中に追加・更新されたプラグインも、公式の配布ファイルと照合し、すべて一致しました。
• 画像などを保存する場所に、プログラムのファイルが紛れ込んでいないことを確認しました。
• 管理者アカウントに、身に覚えのないものがないことを確認しました。
• サーバーの防御機能（WAF ※1）が有効になっていることを確認しました。

この確認は、照合できたファイルの範囲でのものです。週末の試合を安心して調べられる場所であり続けるために、これからも修正情報を確認し、必要な対応を続けていきます。サイトの動作で気になる点があれば、お問い合わせページからお知らせください。

※1 WAF：Webサイトへの攻撃とみられる通信を見分けて、止める仕組みです。

Pullaway運営事務局