PHP脆弱性対策に伴う長時間メンテナンス、および不正アクセス事案に関するお詫びとご説明

10月21日（水）21時36分から22日（木）23時35分まで、futureshopのサービスを長時間停止し、ご利用の事業者様、そのお客様に多大なご迷惑をおかけしましたことを、心よりお詫び申し上げます。

今回のメンテナンスは、世界的に緊急対応が求められたPHPの重大な脆弱性（通称PHP2Shell）への対策として実施したものです。緊急性が高かったため、事前のご案内が十分にできないまま実施することになりました。

futureshop本体はPHPを使用しておりません。

一方、CMSサーバオプションでは、PHPが動作するサーバー環境を提供しています。多くの店舗様はこの環境でWordPress等を利用し、トップページの一部や特集ページなど、ECサイトの重要なコンテンツを作られています。そのため、切り離してしまうとECサイトとして正しく機能しない店舗様が多くいらっしゃいます。

CMSサーバオプションでは複数のPHPバージョンを用意しており、店舗様ごとにご利用のバージョンが異なります。それぞれに合わせて個別に対応する必要があったため、想定以上に時間を要しました。その結果、終了予定時刻を何度も延長することになり、大変申し訳ございませんでした。

復旧は次の順で進めました。

• 22日（木）15時以降、futureshop単体でご利用の店舗様から順次再開
• 続いて、対応が完了したCMSサーバオプションご利用の店舗様から順次再開
• 22日（木）23時35分、全サーバーの再開を完了

また、この間、公式サイトでのご報告が不十分であったことを、深くお詫び申し上げます。

本件は、上記のPHPの脆弱性とは関係のない、別の事象です。

10月21日（水）10時14分頃、futureshopの関連サービスの脆弱性を突いた不正アクセスを検知しました。被害の拡大を防ぐため、影響を受ける可能性のある4台のサーバーを11時30分から緊急停止しました。

その後、脆弱性のあった関連サービスを停止し、不正アクセスを検知したサーバーへの対策を完了しています。対象サーバーをご利用の店舗様は、対策完了後、22日（木）23時35分に再開しております。

本事象については、すべてのサーバーを対象に、アクセス記録や操作記録などの各種記録を確認しております。

現時点のログ調査において、本事象による個人情報の漏えいは確認されておりません。なお、より詳細な確認のため、外部の調査機関への調査依頼を進めております。

調査の結果、新たにご報告すべき事実が判明した場合は、速やかにお知らせいたします。

10月19日（月）に判明したもので、当社サーバーで使用していたソフトウェアの脆弱性に起因します。上記1・2のいずれとも別の事象です。

判明後ただちに侵入経路を遮断し、脆弱性への対策を実施しております。公表までに時間を要しましたが、その間、事実関係の確認とあわせて、当該店舗様と連携し、対象となるお客様へのご案内やお問い合わせ窓口の準備を進めておりました。

当該店舗様、会員の皆様には多大なご迷惑をおかけしており、深くお詫び申し上げます。