TKC、PHP重大脆弱性で会計・自治体向け一部サービス停止

株式会社TKCは2026年10月22日、プログラミング言語PHPに見つかった重大な脆弱性への対応として、同社が提供する一部のオンラインサービスを一時休止していると発表した。停止は10月21日（水）午後11時に始まり、修正プログラムの適用などを行うためのメンテナンスと説明している。停止対象は会計事務所向け、その関与先企業向け、地方公共団体向けのサービスの一部であり、すべてのTKC製品が停止しているわけではない。

同社は、金融機関向けの「TKCモニタリング情報サービス」は問題なく利用できると明記した。一方、停止対象となった個々のサービス名や機能別の影響、利用者数、具体的な復旧時刻については、10月22日付のお知らせで一覧や数字を示していない。会計・税務・行政業務の利用者は、個別のシステムが対象かどうかを公式案内で確かめる必要がある。停止範囲を一律に断定することはできない。

PHPの脆弱性「PHP2shell」と修正版

今回の対応の背景には、PHPの開発元が10月21日に公開した2件の重大な脆弱性がある。情報処理推進機構（IPA）は22日、CVE-2026-109618とCVE-2026-109619について注意喚起した。前者はメモリ不足時のエラー処理、後者はリクエスト処理に関係し、悪用されると外部から任意のコードを実行される可能性がある。2件の組み合わせは「PHP2shell」と呼ばれている。

PHP開発元が公開した修正版は、8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12だ。IPAは利用中のバージョンや製品ベンダーの情報を確認し、対策済みの更新版を適用するよう求めている。ただし、TKCがどのPHPバージョンを運用していたか、個別のサービスにどの脆弱性が影響するかまでは公表されていない。一般的な脆弱性情報と同社の被害状況は区別が必要だ。

サービス停止は予防的な対策

TKCは、脆弱性を利用した攻撃について、発表時点で確認していないと説明している。したがって今回の停止を、不正侵入や情報漏えいが発生した証拠と扱うことはできない。修正版の適用や動作確認を優先するため、一部機能の提供を止める判断をしたと読める。IPAも、直ちに更新できず有効な暫定対策が難しい場合には、外部からのアクセス遮断や一時停止を検討するよう案内している。

再開見込みと利用者が確認すべき点

TKCはサービスの再開見込みを改めて案内するとしており、10月22日付の公式発表には再開予定日時が記載されていない。停止の長さ、作業の進捗、すべての対象サービスが同時に復旧するかどうかも未公表だ。利用者側では、業務への影響を整理しつつ、各サービスの公式通知やサポート窓口から復旧情報を確認することが現実的な対応となる。未公表の再開時刻を確定情報として共有しないことも重要だ。

今回の事例は、共通のソフトウェアに重大な脆弱性が見つかった際、会計事務所や自治体向けの業務サービスにも停止が及び得ることを示している。一方で、TKCの公表内容から確認できるのは一部サービスの休止と修正対応、金融機関向け特定サービスの継続利用、攻撃未確認という範囲までだ。今後の復旧状況や影響範囲については、同社の追加発表で更新する必要がある。