PHPの脆弱性（PHP2Shell）でKajabiは大丈夫？日本語サポートが調べた結論と、確認しておきたいこと

こんにちは、カジャビ日本語サポートのHodaです！

2026年10月下旬、「PHP2Shell」と呼ばれるPHPの重大な脆弱性が世界中で話題になっています。ニュースでは「世界のWebサイトの約70%が使っているPHPに欠陥が見つかった」と報じられていて、Kajabiをお使いの方からも「うちのKajabiサイトは大丈夫ですか？」というご不安の声が聞こえてきそうです。

KajabiはPHPで作られたサービスではないので、基本的には直接の影響は出にくいはずです。ただ、「たぶん大丈夫」で済ませず、今回は公開されている情報をできる限り確認しました。この記事では、わかったこと・わからなかったこと、そしてKajabi運営者の方が「念のため」見ておくとよい場所を、専門的な部分も含めて整理します。

（2026年10月23日時点の情報です。状況は日々動いているので、末尾の更新履歴もご確認ください）

先に結論

• Kajabi本体は、確認できた範囲ではPHPではなくRuby on Railsで作られています。今回のPHPの脆弱性が、Kajabiのサイトそのものを直接危険にする可能性は低いと考えています。
• ただし、Kajabi公式がこの脆弱性について出した声明は、僕が調べた範囲では見つかりませんでした。ですので「Kajabiが公式に安全と言っている」とまでは言えません。「公開情報から見て、直接の影響は出にくい」という評価です。
• Kajabiのダッシュボードで、PHPの更新に当たる作業はありません。サーバーの管理はKajabi側の仕事なので、ユーザーさんが何かをインストールしたり更新したりする必要はありません。
• 本当に確認したいのは、Kajabiの「まわり」です。独自ドメインと同じドメインで動いているWordPressサイト、レンタルサーバーのメール、外部連携（Webhookなど）の受け口、外部から読み込んでいるコードなど、PHPが使われている可能性がある場所です。

今回のPHP脆弱性をかんたんにご説明

脆弱性そのものの詳しい技術解説は専門の記事に譲り、ここではKajabi運営者の方に必要な部分だけ押さえておきます。

• 脆弱性の名前は「PHP2Shell」。CVE番号は CVE-2026-109618 と CVE-2026-109619 の2つで、どちらもCVSS v4.0で9.2という高い評価です。
• Webサーバー上のPHPが、メモリ不足（OOM）になったときの処理や、リクエストごとの内部データの後始末でミスをする問題で、条件が合うとログインなしで外部から任意のコードを実行されるおそれがあります。
• 修正版は2026年10月21日に公開されました。PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。PHP 8.1以前は通常のサポートが終わっていて、公式の修正は出ていません（一部、最小限の修正パッチが別途公開されています）。
• 影響を受けるのは、PHPでWebサイトやアプリを動かしているサーバーです。PHPを使っていないサービスは、この脆弱性そのものの対象ではありません。
• 悪用の状況は、報道によって表現に幅があります。公開前の10月17日に悪用の試みがあったとするAmazonの観測や、ホスティング事業者から悪用インシデントの報告があったとするPatchstackの情報があります。一方で「成功した侵害の全体像はまだ不明」とする報告もあります。いずれにしても「すでに狙われている」前提で動くのが安全です。

Kajabiは何で動いているのか

「PHPではないはず」という話を、根拠つきで確認してみました。

確認できたこと

• エンジニア採用ページの技術スタック：
  • 過去のKajabiの求人（API担当のSenior Software Engineer）には、技術スタックとして「Javascript, Ruby / Rails, Postgres, Sidekiq, Redis, Memcached, and Github」と書かれています。
  • 別の求人（Commerce担当のSenior Engineer）にも、「Ruby on Rails, React, Postgres」の専門性が必須と書かれています。決済まわりではStripeのAPIの経験や、Datadogでの監視も挙げられています。
  • どちらの求人にもPHPの記載はありません。
• Kajabiのテンプレート言語：Kajabi公式ヘルプでは、テンプレートのコードは「Liquid」で書かれていると説明されています。Liquidは、Rubyで書かれたテンプレートエンジンです。
• ユーザーが追加できるコードの種類：公式ヘルプで案内されているのは、HTML、CSS、JavaScript（と、Proプランのコードエディタで触るLiquidテンプレート）です。いずれも、ページを表示するブラウザ側、またはKajabiのテンプレートの話で、「自分のPHPプログラムをKajabiのサーバー上で動かす」ような仕組みは案内されていません。
• 公式ステータスページ（status.kajabi.com）：私が確認した時点では、すべてのコンポーネントが正常稼働（Operational）でした。直近の障害は10月19〜20日のモバイルアプリのログインやエラー表示で、PHPやセキュリティに関する告知は載っていません。

つまり現時点では、「Kajabi本体は直接の対象になりにくい。ただし公式の明言はなく、今後の公式発表があればそれに従う」というのが、一番正確な言い方だと思います。

Kajabiサイトは、どこがPHPと関係しうるのか

Kajabiの外側には、PHPが使われている可能性のある場所がいくつもあります。ここが今回の「本当の確認ポイント」です。

1. 独自ドメインを共有している別のサイト

Kajabiは、独自ドメインを接続して使えます。ルートドメイン（example.com）はネームサーバーの変更、サブドメイン（courses.example.com など）はCNAMEで接続する形が公式に案内されています。

ここで注意したいのが、同じドメインの別の場所で、WordPressなどのPHPサイトを動かしているケースです。

• 以前WordPressでサイトを作っていて、Kajabiに移行したあとも、古いWordPressがレンタルサーバーに残っている
• ブログだけはWordPress（blog.example.com など）、販売や会員サイトはKajabi、という分け方をしている
• 古い案内ページやLPのバックアップが、ドメイン配下の別サーバーに残っている

こうしたサイトは、Kajabiの外にあるので、Kajabiの安全性とは関係なく、PHPの脆弱性の影響を受けます。特に「もう使っていないのに放置しているWordPress」は、攻撃者から見ると狙いやすい場所です。

2. メールサーバーまわり

独自ドメインのメールを、レンタルサーバーのメールで使っている方も多いと思います。Kajabiのヘルプにも、ドメインを接続する前にMXレコード（メール関連のDNS設定）を控えておくよう書かれています。

レンタルサーバーのウェブメールには、PHPで動いているものがあります。今回の件では、国内のレンタルサーバーなどが予防的にメンテナンスを行ったという報道もあります。サービス提供側の対応状況は、契約しているレンタルサーバー会社のお知らせで確認してください。

3. Webhookや外部連携の「受け口」

Kajabiには、外部のサービスとデータをやり取りするWebhook（インバウンド/アウトバウンド）やAPIの仕組みがあります。ZapierやMakeなどのサービスを経由している場合は、そのサービスの側の話になりますが、自分のサーバー上に、Kajabiから情報を受け取るPHPのスクリプトを置いている場合は、そのサーバーが対象になります。

• 購入者の情報を、自分のサーバーのPHPスクリプトで受け取って、別のシステムに登録している
• 以前、制作会社に作ってもらった連携プログラムがレンタルサーバーで動いている

こうした仕組みを作った覚えがある方は、一度確認してみてください。

4. Kajabiのページに埋め込んでいる外部のコード

Kajabiでは、カスタムコード（CSS / JavaScript / HTML）をページやブロックに追加できます。公式ヘルプでは、コードを使ったカスタマイズはサポートの対象外であること、第三者のコードはVirusTotalやSnykなどで確認することが推奨されています。

もし、外部のサーバーからJavaScriptを読み込んでいます（自分のレンタルサーバーに置いたスクリプトや、使っていない古い外部ツールなど）、そのサーバーがPHPで動いていて乗っ取られると、Kajabiのページに不正なコードを読み込ませる経路になりえます。Kajabi自体が破られなくても、外から読み込んでいるものが改ざんされると、表示されるページが危険になるという考え方です。

Header Page Scripts（全ページに出るコード）や、ブロックのCustom Codeに、見覚えのない外部URLがないか、この機会に確認してみてください。

5. アカウントそのものの守り

PHPの脆弱性とは別の話ですが、大きなニュースが出たときには、それに便乗した偽のメールや「アカウント確認」の案内が増えがちです。

• Kajabiのセキュリティページでも、多要素認証の有効化、強く一意なパスワード、認証情報を共有しないことが勧められています。
• 「Kajabiからのセキュリティ警告」を名乗るメールのリンクは、押す前にドメインを確認してください。不安なときは、メールのリンクではなく、ブックマークからKajabiにログインしてください。

Kajabi運営者の確認チェックリスト

すべて、10〜15分でできる範囲にしています。

1. 自分のドメインの下で動いているサイトを書き出す
   • 本サイト、ブログ、LP、古いサイト、サブドメインなどを一覧にします。
2. PHPで動いているものに印をつける
   • WordPressやEC-CUBEなどは、PHP製です。「もう使っていないもの」は、閉鎖または削除を検討します。
3. レンタルサーバー会社のお知らせを確認する
   • PHPの更新状況や、メンテナンスの案内が出ていないか確認します。契約中のPHPバージョンが、修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）か、サーバー会社が対策済みと案内している状態かも見ます。
4. WordPressがある場合は、WordPress本体とプラグインも更新する
   • PHP側の更新とは別に、サイト側の更新も忘れずに。
5. Kajabiのカスタムコードと外部連携を見直す
   • Header Page Scripts、各ページのCustom Code、Custom Codeブロックに、見覚えのない外部URLがないか。
   • Webhookの送信先、自分のサーバー上の受け口がないか。
6. Kajabiアカウントの多要素認証を有効にする
   • まだなら、これを機会に設定しておくのがおすすめです。
7. 不審な動きがあれば、早めにKajabiサポートへ
   • 見覚えのないログイン、サイトの表示の変化、身に覚えのない設定変更などです。

よくある質問

Q. Kajabiを使っていれば、PHPの更新は何もしなくていいですか？

Kajabi本体のサーバーについては、ユーザーさん側でPHPを更新する作業はありません。ただし、前半で書いたように、Kajabiの外側で動いているWordPressやレンタルサーバーなどは、ご自身（または管理している会社）での対応が必要です。KajabiのようなSaaSではその辺の管理は管理サイト側にあるので皆様が特に何かを行う必要はありません。

Q. Kajabiの購入者のカード情報は、今回の件で盗まれるおそれはありますか？

Kajabiの決済は、StripeやPayPalなどと連携して行われます。日本ではKajabi Paymentsが提供されていないため、StripeやPayPalを使う形が一般的です。Kajabi本体が直接PHPの影響を受けにくいことを考えると、今回の脆弱性が理由でカード情報が漏れるという具体的な事例は、私が調べた範囲では見つかっていません。ただし、カード情報を最終的にどの事業者が処理・保管するかは、Kajabiのヘルプにも明記がないため、詳細はKajabi、Stripe、PayPalの各公式情報を確認してください。

Q. Kajabiから公式のお知らせは出ていますか？

私が確認した範囲では、PHPの脆弱性に関する公式声明は見つかりませんでした（ステータスページ、セキュリティのページを確認）。出ていないからといって、安全が保証されたわけでも、危険というわけでもありません。公式の案内が出たら、この記事を更新します。

Q. 日本語サポートに相談してもいいですか？

もちろんです。Kajabi自体の動作や設定、独自ドメインまわりでのご不安などは、お気軽にご相談ください。ただし、レンタルサーバーやWordPressなど、Kajabi以外のサービスの具体的な設定作業は、それぞれの提供元での確認が必要になる場合があります。

まとめ

• Kajabiは、確認できた範囲ではPHPではなくRuby on Railsベースで、今回のPHP脆弱性の直接の対象になる可能性は低いと考えています。
• ただし、Kajabiの公式声明は見つからず、「絶対に安全」とは言い切れません。公式発表が出たらお知らせします。
• ユーザーさんがすべきことは、Kajabiの設定変更ではなく、Kajabiの外側にあるPHPのサイト・メール・連携の確認です。
• 外部から読み込んでいるコードと、アカウントの多要素認証も、一度見直しておくと安心です。

こういう脆弱性のニュースがあるたびに、自分で個別のサーバーを管理し続けるのは大変だと感じる方もいると思います。Kajabiは、サイト、販売、会員管理をひとつのサービスにまとめられる分、サーバーの更新やセキュリティパッチの対応を自分でしなくてよいのが、運営面での大きな利点のひとつです。ただ、今回のように「Kajabiの外側」にもリスクは残るので、全体を見ながら、無理のない形で進めていきましょう。

何かご不安なことがあれば、お気軽にご連絡ください。

更新履歴

• 2026年10月23日：初版公開。