PHPの脆弱性について：LOCKEDシリーズはPHPを使用していません

IPA（情報処理推進機構）やJPCERT/CCが注意喚起しているPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、LOCKEDシリーズへの影響をお知らせします。

この脆弱性については、10月21日に内閣総理大臣からも、公開しているWebサイトでPHPを使っているかを確かめ、修正版をすぐに適用できるように準備してほしいという呼びかけがありました。

LOCKEDシリーズの各サービスはPHPを使用していないため、この脆弱性による影響はないと考えています。この件でのメンテナンスやサービスの一時停止は予定していません。

シングルサインオン、ID管理、端末の管理、フィッシング訓練は、これまでどおりご利用いただけます。

対象のサービス

• シングルサインオンサービス「LOCKED MSO」
• ID管理サービス「LOCKED DAS」
• モバイルデバイス管理サービス「LOCKED MDM」
• フィッシング訓練サービス「LOCKED ATP」
• LOCKEDシリーズのWebサイト（locked.jp）
• 当社コーポレートサイト（onetapinc.jp）

LOCKEDから連携しているサービスについて

LOCKEDからシングルサインオンでログインしている社内システムやWebサービスのうち、PHPで動いているもの（WordPressなど）は、それぞれのサーバーで対応が必要です。LOCKED側の設定を変える必要はありませんが、LOCKEDの設定でこの脆弱性を防ぐこともできません。

自社で運用しているサーバーでは、PHPを修正版（8.5.12、8.4.27、8.3.36、8.2.35以降）へ更新してください。対象のバージョンと対応方法は、JPCERT/CCの注意喚起をご確認ください。すぐに更新できない場合は、Webサイトを一時的に停止することも、リスクを下げる方法の一つとされています。外部のサービスを使っている場合は、各サービスのお知らせをご確認ください。