StudioのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、ノーコードのWeb制作サービス「Studio」がどう対応し、Studioでサイトを運営している人が何を確認すればよいか、という話です。結論から言うと、Studioは自社のサービスでPHPを使っていることを公表したうえで、10月21日22時26分から10月22日4時5分まで緊急メンテナンスを行い、PHPを修正版に更新して全機能を再開しました。現時点で、この件による被害は確認されていないとしています。サイト運営者がPHPのバージョンを操作する必要はありませんが、メンテナンス中は公開サイトのフォームが送信できなかったため、その後の確認が必要です。

この記事は、2026年10月22日13時20分時点のStudio公式のメンテナンスのお知らせ、不正アクセスに関するご案内ページ、Studioヘルプセンターをもとにまとめています。（冒頭の結論と速報欄は、10月22日16時05分に公式のお知らせを見直して更新しています）また、Studioでは10月16日に、PHPとは別の不正アクセスの件も公表されています。2つは原因も対応もまったく別の話なので、この記事では見出しを分けて説明します。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事、国内各社の対応の一覧はphp2shellへの国内各社の対応まとめをご覧ください。

StudioがPHPの脆弱性について公表していること（10月22日13時20分時点）

Studioは公式サイトの「最新情報」に、緊急メンテナンスのお知らせを掲載しています。お知らせには、PHPの開発チームが重大な脆弱性2件の修正版を公開すると予告したことを受けて、予防措置として実施したと書かれています。つまり、Studioのサービスの裏側ではPHPが使われており、今回の脆弱性と無関係ではなかった、ということです。

メンテナンスの経緯

公式のお知らせに書かれている経緯を表にまとめます。当初は「22時以降」と告知され、実際の開始は22時26分でした。

事前の案内と違って止まっていたもの

18時46分の告知では、止まるのはStudioの管理画面（ダッシュボードとエディター）とテンプレートの購入・出品だけで、公開済みサイトの閲覧には影響がないと案内されていました。ところが4時5分の更新で、事前の案内と違って公開サイトの一部の機能にも影響が出ていたことが公表されました。理由は、攻撃に使われうる通信がPHPの処理に届かないよう、安全を優先して公開サイト向けの仕組み（API）まで止めたため、と説明されています。

サイト運営者がPHPを操作する必要はない

Studioは、サーバーを借りて自分でPHPのバージョンを選ぶレンタルサーバーとは違い、サービス側がまとめて運用する仕組みです。今回もPHPの更新はStudio側が行い、「PHPを修正版に更新」したと公表しています。公式ステータスページの完了報告には、Studioで使っていたPHPが今回の対象範囲に当たっていたため修正版に更新したこと、セキュリティ上の理由から具体的なバージョンは公開しないことも書かれています。ヘルプセンターにも、利用者がPHPのバージョンを選ぶ設定の案内は見当たりません。そのため、WordPressのようにサーバーの管理画面でPHPを切り替える作業はありません。なお、PHPの弱点はPHP本体にあるため、WordPressやプラグインを更新しても直らない、という点はほかのサービスと同じです。

PHPの件でStudioのサイト運営者が確認すること

PHPの件で利用者にお願いされているのは、フォームの再送の案内と、管理画面の表示がおかしいときの再読み込みの2点です。あわせて、止まっていた機能が元に戻っているかを自分の目で確かめておくと安心です。

ステップ1｜公開サイトのフォームを送ってみる

公開中のサイトのお問い合わせフォームや予約フォームから、テストの送信をしてみます。送信後に届く通知メールや、Studioのダッシュボードの回答一覧に届いているかまで確認します。Googleスプレッドシート連携を使っている場合は、シートに行が追加されるかも見ておきます。

ステップ2｜送れなかった人へ再送をお願いする

公式のお知らせによると、メンテナンス中にフォームを送ろうとした人には、その場でエラーのメッセージが表示され、送信できない状態でした。Studioは「必要に応じて、サイトなどで訪問者の皆さまへ再送のご案内をお願いいたします」としています。10月21日22時26分から22日4時5分の間に問い合わせや予約が入る見込みがあったサイトは、お知らせ欄やSNSで「この時間帯に送れなかった方は、お手数ですがもう一度お送りください」と案内しておくと、取りこぼしを減らせます。

ステップ3｜パスワード保護ページとCMSの表示を確かめる

会員向けや関係者向けにパスワード保護のページを使っている場合は、パスワードを入れて開けるかを確認します。ブログやお知らせをCMSで出しているサイトは、一覧の「もっと見る」やサイト内検索が動くかを見ておきます。どちらもメンテナンス中に影響が出ていたと公表されている機能です。

ステップ4｜管理画面の表示がおかしいときは再読み込み

Studioのダッシュボードやエディターの表示が正しくない場合は、ページを再読み込みするよう案内されています。メンテナンス前から画面を開いたままにしていたパソコンでは、一度タブを閉じて開き直すのが確実です。

状況の確認先について

メンテナンス中の状況は、Studioの公式ステータスページと公式Xでも知らせると案内されていました。10月22日の朝の時点では、ステータスページの表示は「In progress（実施中）」のまま残っていましたが、11時38分に「Completed（完了）」の報告が掲載されました。16時05分時点では、ダッシュボード、エディター、公開サイトなどすべての項目が「Operational（通常どおり）」になっています。

別件：10月16日に公表された不正アクセス（PHPの件とは別の話）

ここからは、PHPの脆弱性とは関係のない別の事案です。Studioは10月16日、同社が使っているクラウド環境に第三者が不正にアクセスし、お客様の情報が外部に流出した可能性があると公表しました。原因は「Studioの一部機能の脆弱性」で、PHPの脆弱性の修正版公開が予告されるより前に起きています。対象は「Studioにご登録いただいているすべてのお客様」とされているため、Studioを使っている人は全員が確認の対象です。公表当日の内容はStudio不正アクセス（2026年10月）でサイト管理者がやるべき対応まとめでも整理しました。ここでは、その後10月18日から20日にかけて更新された公式の案内（スプレッドシート連携のつなぎ直し、カスタムプロキシの手順、個人情報保護委員会への報告の扱いなど）を反映しています。

何が起きたのか

公式の第一報によると、2026年9月30日から10月1日にかけて第三者が不正にアクセスし、環境内のデータを外から取り出せる状態にしていました。この状態は10月14日にStudioが対処するまで続いていました。Studioは10月13日に社内の調査で不正アクセスを確認し、13日から14日にかけて脆弱性を修正して経路を塞ぎ、14日2時30分ごろには、ログイン中だったすべての利用者を一度ログアウトさせています。実際に取得された事実は確認できていないものの、取得されたものとみなして対応している、と説明しています。セキュリティ研究者のブログpiyologの10月20日時点のまとめでは、Studioで作ったサイトを運営する98の組織が、影響の可能性や調査を公表しています。

流出した可能性のある情報

フォームの送信内容やAPIキーなどは暗号化して保存されていましたが、復号に必要な鍵も同じ不正アクセスで読み出されたため、内容を知られた可能性があるとされています。フォームの回答で対象になるのはStudioに保存されていた回答で、ゴミ箱に移しただけの回答やライブプレビューでのテスト送信も含まれます。添付ファイルはファイル名だけが対象で、中身は含まれません。Googleフォームなど外部のフォームを埋め込んでいる場合、回答はStudioを通らないため対象外です。

クレジットカード情報について

公式が挙げている「流出した可能性のある情報」の一覧に、クレジットカード番号は含まれていません。Studioは、決済やログインに使っていた自社側の認証情報を新しいものに切り替えたと公表しています。また、Studioにはカートや決済の機能がなく、Studioで作ったサイトの訪問者がカードで支払う仕組みはStudio単体では提供されていません。外部の決済サービスを埋め込んでいる場合のカード情報は、その決済サービスの扱いになります。カードについて公式が明記していないことは、この記事でも推測で書きません。

不正アクセスの件でStudioの利用者がやること（公式の案内どおり）

すべての利用者にお願いされているのは、パスワードの変更とライブプレビューのURLの削除の2つです。そのうえで、API連携やフォームなど特定の機能を使っているプロジェクトのオーナーには、10月16日に機能ごとの個別メールが送られています。件名は「【重要】不正アクセスに伴う、」で始まります。メニューの名前は、Studioヘルプセンターと公式のご案内ページの表記に合わせています。

ステップ1｜Studioのパスワードを変える

画面右上のアイコンから［設定］→［アカウント］→［パスワードを変更］を開き、現在のパスワードと新しいパスワードを入れて保存します。パスワードは8文字以上で、数字と英字の大文字・小文字をそれぞれ1文字以上含める必要があります。同じパスワードをほかのサービスでも使っている場合は、そちらも変えるよう強くすすめられています。GoogleログインかFacebookログインだけを使っていて、Studioのパスワードを設定していない人は不要です。ただ、以前にメールアドレスとパスワードで登録したことがある人は、ログイン画面の「パスワードをお忘れですか？」から再設定するよう案内されています。

ステップ2｜ライブプレビューのURLを削除する

プロジェクトのダッシュボードで［設定］タブの［一般］を開き、［ライブプレビュー］の［プレビューの管理］にある［プレビューリンクを削除］を押して、確認画面で［削除］を押します。削除したURLは使えなくなるので、引き続き関係者と共有したい場合は新しいURLを発行し直します。削除できるのは、プロジェクトの「支払いオーナー」「オーナー」「編集者」と、ワークスペースの「オーナー」「メンバー」です。

ステップ3｜API連携のキーを切り替える

microCMSやNotionなど外部サービスのAPIキーやトークン（外部サービスに接続するための合い鍵のような文字列）を登録している場合は、順番が大切です。まず外部サービス側で新しいキーを発行し、次にStudioの設定を新しいキーに更新し、最後に外部サービス側で古いキーを失効させます。Data Connect APIはデザインエディタの接続パネルでAPIの「認証」を開いて値を更新し、API連携（Beta）はAPIの編集画面でヘッダーに登録したキーを更新します。古いキーを先に止めると、サイトの表示に使っている連携が止まるので注意します。あわせて、9月30日以降に心当たりのない利用がないか、外部サービスの利用履歴も確認します。

ステップ4｜パスワード保護ページのパスワードを変える

サイト全体やページにパスワード保護をかけている場合は、パスワードを変更し、閲覧してもらう人に新しいパスワードを伝えます。手順はヘルプセンターの「サイト全体をパスワードで保護する」にまとまっています。保護していたページの中身そのものも、流出した可能性のある情報に含まれる点は覚えておきます。

ステップ5｜Googleスプレッドシート連携をつなぎ直す

Studioは10月14日に接続に必要な鍵を更新しており、流出した可能性のある認証情報はすでに使えない状態です。連携もそのまま使えます。そのうえで、より確実にするために、①Studioで連携を解除する、②Googleアカウントの「リンク済みアプリ」のページでStudioのアクセス権を削除する、③改めて連携する、の順につなぎ直すことがすすめられています。つなぎ直すと新しいシートが作られます。連携していたシートは、「ファイル」→「変更履歴」→「変更履歴を表示」で、9月30日から10月14日の間に、回答の追加以外の見覚えのない編集がないかも確認しておきます。

ステップ6｜Webhook通知のURLを切り替える

フォームの送信をSlackなどに知らせるWebhook通知（決まったURLに自動でお知らせを送る仕組み）を使っている場合は、通知先のサービスで新しいURLを発行し、プロジェクトのダッシュボードの［ホーム］→［プロジェクト設定］の最下部にある「Webhook」を新しいURLに更新して、「テスト送信」で届くかを確かめます。最後に通知先のサービスで古いURLを無効にします。9月30日以降、通知先に心当たりのない通知が届いていた場合は、その中のリンクを開かないようにします。

ステップ7｜カスタムプロキシを使っている場合

新しいプロキシキーはStudio側で発行済みで、ダッシュボードの「設定」→「カスタム」→「カスタムプロキシ」で確認できます。自社側のサーバーやCDN（配信を速くするための仕組み）の設定を新しいキーに差し替え、サイトが正しく表示されるのを確かめたら、お問い合わせ窓口で「プロキシキーの無効化依頼」を選んで、対象プロジェクトのStudioサブドメインを添えて知らせます。期日は10月16日のメールを受け取ってから30日以内です。古いキーは、連絡するまで使える状態が続きます。

reCAPTCHA v3のキーは一律の差し替えは不要

Google reCAPTCHA v3（フォームのいたずら送信を防ぐGoogleの仕組み）のシークレットキーも流出した可能性はありますが、Studioは一律の差し替えはお願いしていません。このキーだけではフォームの回答は見られず、Googleの判定も通過できないためです。ただ、フォームが急に送れなくなった場合や、reCAPTCHAの管理画面で見覚えのない利用の増加がある場合は、新しいキーを作って［ホーム］→［Apps］→［Google reCAPTCHA v3］で更新するよう案内されています。

フォームで個人情報を受け取っていた場合の報告とお客様への説明

お問い合わせや予約、採用の応募などで、氏名や連絡先をフォームから受け取っていた場合は、サイト運営者自身が個人情報を扱う事業者として、国への報告やご本人への通知が必要になる場合があります。ここは公式の案内がこの数日で更新されているので、最新のページを読み直してから動くのが安全です。

個人情報保護委員会への報告は「個別」か「連名」を選べる

Studioは10月17日に、個人情報保護委員会への報告をいったん保留するようお願いしました。その後、10月20日の続報で、自分で個別に報告するか、Studioが取りまとめて連名で報告するかを選べることになったと公表しています。連名の申し込み方法と受付期間は、10月22日13時20分時点ではまだ案内されていません。決まり次第知らせるとされています。

サイト利用者への通知は別に考える

連名の報告に含まれるのは委員会への報告だけで、フォームを送ってくれたご本人への通知は含まれません。Studioのご案内ページでは、通知が必要かを考えるための確認点として、①事業や団体の活動のためにフォームを使っていたか、②回答に氏名や連絡先など個人を特定できる情報が含まれていたか、③個別メールに書かれた対象プロジェクトに当てはまるか、の3つが示されています。判断に迷うときは、弁護士などの専門家に相談するよう書かれています。自社サイトでのお知らせに使える「リリース用雛形」も用意されています。

お客様から聞かれたときの伝え方

お客様や取引先から「大丈夫なの？」と聞かれたときは、2つの件を分けて、公式に書かれている事実だけを伝えます。たとえば次のような形です。「PHPの脆弱性については、Studioが10月22日4時5分に修正版への更新を終え、被害は確認されていないと公表しています。ただ、10月21日22時26分から22日4時5分の間はフォームが送れなかったため、その時間に送ろうとした方はもう一度お送りください。別件として、Studioは10月16日に不正アクセスを公表しており、当社のフォームにお寄せいただいた内容が含まれる可能性があります。詳細はStudioの公式ページでご確認いただけます。」制作の現場では、ここで「たぶん大丈夫です」と言ってしまい、あとで説明を変えることになる例が少なくありません。分からないことは「Studioの発表を待って改めてお知らせします」と伝えるほうが、信頼を損ねにくくなります。

アカウントとメンバーの見直し

今回のように、利用者の側ではどうにもできない原因で情報が漏れることがあります。それでも、誰が何をできるかを整理しておくと、こうしたときの確認や連絡が早くなります。

オーナーを複数にし、使っていないメンバーを外す

Studioのプロジェクトには「オーナー」「支払いオーナー」「編集者」の3つのロール（権限の種類）があります。個別のお知らせメールはオーナーに届くため、オーナーが退職者や外部の制作会社だけになっていると、大事な連絡を見落とします。ヘルプセンターでも、オーナーを複数設定しておくことがすすめられています。あわせて、制作が終わった外部の人や異動した人が編集者のまま残っていないかを確認し、不要なメンバーは外します。Businessプラン以上やワークスペースの有料プランでは、フォーム回答の閲覧だけを制限するといった細かい権限設定もできます。

2段階認証とログイン方法について

10月22日9時40分時点で、Studioのヘルプセンターには、通常のアカウント向けの2段階認証（パスワードに加えて確認コードを求める仕組み）の設定手順は見つかりませんでした。Enterpriseプランでは、会社のアカウントでまとめてログインできるシングルサインオン（SSO）に対応しています。GoogleログインでStudioを使っている場合は、Googleアカウント側の2段階認証を有効にしておくと、ログインの守りを固められます。

Studioを名乗る不審な連絡に注意する

こうした発表のあとは、便乗した偽のメールが届きやすくなります。Studioからのメールは「@studio.design」か「@studio.site」のアドレスから送られ、本件のメールにパスワードや認証情報の入力を求めるリンクが含まれることはない、と公式は明言しています。ログインするときは、画面のURLが「app.studio.design」であることを確かめます。

サポートに連絡したほうがよい場面と窓口

自分で確認できないことや、見覚えのない変更を見つけたときは、早めにStudioへ連絡します。窓口は件によって分かれていて、どちらも回答は平日10時から18時に順番に行われます。

よくある失敗と注意点

今回は対応する項目が多く、順番を間違えるとサイトの機能が止まることがあります。よくあるつまずきを3つ挙げます。

古いキーを先に止めて、サイトの連携が切れる

API連携やWebhook、reCAPTCHAはどれも「新しいものを作る→Studioに設定する→動作を確かめる→古いものを止める」の順です。急いで古いキーから止めると、CMSの記事が表示されない、フォームが送れないといった状態になります。

スプレッドシート連携の解除中に回答を取りこぼす

連携を解除してから改めて連携するまでの間、回答はシートに追加されません。フォームの設定で「フォームの結果をStudioに保存」を無効にしている場合は通知メールにしか届かないので、解除の前に通知先のメールアドレスが設定されているかを確かめます。同じGoogleアカウントでほかのプロジェクトも連携している場合は、そちらもつなぎ直しが必要です。

2つの件を混ぜてお客様に説明してしまう

「PHPの脆弱性で情報が漏れた」と説明するのは誤りです。情報流出の可能性があるのは10月16日公表の不正アクセスの件で、PHPの件では被害は確認されていないと公表されています。社内やお客様への説明では、日付と出典を分けて書くと混乱を防げます。

よくある質問

Q. StudioはPHPを使っているのですか？

A. はい。Studioはメンテナンスのお知らせで、PHPの脆弱性を受けた予防措置であることと、PHPを修正版に更新したことを公表しています。ただし利用者がPHPを選んだり更新したりする仕組みではないため、サイト運営者がPHPを操作する必要はありません。

Q. 自分のStudioサイトは、PHPの件で被害を受けましたか？

A. Studioは10月22日4時5分の更新で、「現時点において、本件に起因する被害（不正アクセスや情報の流出など）は確認されておりません」としています。続報が出る可能性はあるので、公式のお知らせを時々確認してください。

Q. メンテナンス中、サイトは見られなかったのですか？

A. 公開済みサイトの閲覧そのものは止まらない予定でしたが、実際にはフォームの送信、パスワード保護ページの閲覧、CMSの一部の機能に影響が出ていたと公表されています。ページの見え方はサイトの作りによって違います。

Q. 10月16日の不正アクセスは、PHPの脆弱性が原因ですか？

A. 公式の発表では、原因は「Studioの一部機能の脆弱性」とされていて、PHPの脆弱性とは書かれていません。不正アクセスは9月30日から10月1日で、PHPの脆弱性の修正版公開が予告される前の時期です。原因の詳しい調査は外部の専門機関に依頼する予定で、結果は続報で知らせるとしています。

Q. Googleログインだけを使っています。何かする必要はありますか？

A. Studioのパスワードを設定していなければ、パスワードの変更は不要です。ただし、ライブプレビューのURLの削除や、使っている機能ごとの対応は、ログイン方法に関係なく確認してください。

Q. 個別メールが届いていません。対象外と考えてよいですか？

A. いいえ。アカウント情報はすべての利用者が対象なので、パスワードの変更とライブプレビューの削除は全員にお願いされています。機能別のメールはプロジェクトのオーナーに届くため、迷惑メールのフォルダも確認し、それでも見つからなければ専用窓口に問い合わせてください。Studioにログインしたときの画面上のお知らせでも案内されています。

参考にした公式ページ

• Studio「【重要】10月21日(水) 22:00からの緊急メンテナンスのお知らせ【10月22日(木) 04:05終了】」
• Studio Status（公式ステータスページ。10月22日11時38分に完了を報告）
• Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日、18日更新）
• Studio「Studioにおける不正アクセスに関するご案内」（2026年10月20日更新）
• Studio「【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内」（2026年10月20日更新）
• Studio Help「アカウントのパスワードを変更する」
• Studio Help「ライブプレビュー」
• Studio Help「プロジェクト参加ユーザーのロールを管理する」
• Studio Help「Studioのセキュリティ対策」
• PHP公式 セキュリティアドバイザリ（2026年10月21日）
• piyolog「Studioへの不正アクセスについてまとめてみた」（2026年10月20日）

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。