--- title: コドモンは修正版を待たずに止めた。価値観は売上を失う日に試される description: 2026年10月21日、コドモンはPHPの修正版公開を待たず、情報が変わってから約30分で全サービス停止を決めた。止める方針は営業部門の執行役員も承認していた。「安全第一」が本物かは売上を失う日にしか分からない。自社では誰が止められるか。 image: https://nobusato.jp/hubfs/covers-2026-10/codmon-shutdown-before-the-patch-cover-ja-2026-10.png --- [佐藤伸明 Nobu Sato](https://nobusato.jp/home?hsLang=ja) [プロフィール](https://nobusato.jp/ja/profile?hsLang=ja) [方法論](https://nobusato.jp/ja/blog/method?hsLang=ja) [記事](https://nobusato.jp/ja/blog?hsLang=ja) [用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja) [お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja) [日本語](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch)[English](https://nobusato.jp/en/blog/codmon-shutdown-before-the-patch)[中文](https://nobusato.jp/zh/blog/codmon-shutdown-before-the-patch) 組織と採用 この記事 1. [その日、何が起きたのか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s1) 2. [何を犠牲にしたのか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s2) 3. [価値観は、売上を止める日に初めて検証される](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s3) 4. [自社なら、誰が止められるか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s4) [組織と採用](https://nobusato.jp/ja/blog/tag/組織と採用) # コドモンは修正版を待たずに止めた。価値観は売上を失う日に試される コドモン、2026年10月21日 [佐藤伸明](https://nobusato.jp/ja/profile?hsLang=ja)約7分 目次4 1. [その日、何が起きたのか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s1) 2. [何を犠牲にしたのか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s2) 3. [価値観は、売上を止める日に初めて検証される](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s3) 4. [自社なら、誰が止められるか](https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch#s4) 2026年10月21日の昼過ぎ、日本中の保育園で、登園記録と連絡帳が紙に戻った。保育・教育施設向けの業務支援サービス「コドモン」が、午後1時ごろから施設向け・保護者向けの全サービスを順次止めたからだ。障害ではない。PHPの重大な脆弱性に対する修正版が、その夜11時に公開されると予告されていた。国内の多くのサービスは夜を待った。コドモンは待たなかった。 ## その日、何が起きたのか 時系列はコドモン自身が公開している。同社のプロダクト開発部長が10月23日にテックブログへ書いた事後報告が、ここでの主な材料だ。 10月21日4時33分、PHP開発チームが重大な脆弱性2件（CVE-2026-109618と109619、深刻度9.2、10点満点）を、同日23時に修正版とともに公開すると予告した。詳細は伏せられた。情報処理推進機構（IPA）も同日、事前準備を呼びかける注意喚起を出している。 コドモン社内で脆弱性が把握されたのは9時1分、エンジニアがSlackに書いた。10時32分に経営メンバーへ共有された時点の方針は、止めずに23時を待つ、だった。11時18分、プロダクトセキュリティチームが安全策としての停止を提案する。11時37分、経営メンバーと協議し、23時に合わせて事前告知のうえ夜間に停止、公開が前倒しされたら即時停止、という線で合意した。 ここまでは、多くの会社と同じ判断である。変わったのは12時3分だ。SNSやエンジニアコミュニティで脆弱性の原因箇所と修正方法が広まり、23時を待たずに攻撃が成立しうるという情報が入った（出回る情報がすべて正しいと確認できたわけではない、と報告は断っている）。12時37分、経営メンバーと緊急協議し、速やかな停止を決定。13時ごろから順次止め、13時46分に保護者向け連絡帳アプリ、14時2分に職員用管理画面が止まり、14時49分に停止対象の全サービスが止まった。情報が変わってから決定まで、およそ30分である。 情報が変わってから30分で、売上を止める決定が出た コドモンのPHP脆弱性（PHP2Shell）対応の時系列、2026年10月21〜22日、日本時間。同社プロダクト開発部長による事後報告（2026年10月23日）から 1. 4:33PHP開発チームが予告重大な脆弱性2件、修正版は同日23時に公開。詳細は非公開 2. 10:32経営メンバーへ共有この時点の方針は「止めずに23時を待つ」 3. 11:37夜間停止で合意事前告知のうえ23時に停止。公開が前倒しされたら止めることを、社長、プロダクト本部長、営業部門の執行役員が承認 4. 12:03情報が変わる原因箇所と修正方法がSNSで拡散。23時前に攻撃が成立しうる 5. 12:37日中の全サービス停止を決定経営メンバーが緊急協議。昼前の承認を、新しい情報に当てはめた 6. 14:49停止完了13時ごろから順次停止 7. 22:38修正版が公開予定より前倒し。配布元に届くまで数時間から数日の差 8. 翌3:22主要サービス再開自前ビルド版で再開。残りは22日中、所在確認アラートは23日9時 判断は情報が変わるたびに変わった。変わらなかったのは、何を最優先にするかである。 図1　コドモンは2026年10月21日、PHPの修正版公開（23時予告）を待たず、攻撃が成立しうるという情報が入った12時3分から約30分後の12時37分に日中の全サービス停止を決め、14時49分に停止を完了、翌22日3時22分に自前ビルド版で主要サービスを再開した。 修正版は予定より少し早い22時38分に公開された。ただ、配布元（Dockerの公式イメージ、Ubuntuのパッケージなど）に修正版が届くまでには数時間から数日の差があることが、17時ごろに判明していた。エンジニアたちは自前でPHPをビルドする準備を並行して進め、夜間作業チーム13名が22時30分に集合する。翌22日3時22分、職員用管理画面と保護者アプリ、主要サービスが自前ビルド版で再開した。残るサービスは22日の日中に、所在確認アラート機能は23日9時に戻った。本件に起因する不正アクセスや情報漏えいは確認されていない、と同社は書いている。 ## 何を犠牲にしたのか 数字で見る。コドモンの導入施設は2026年10月1日時点で25,696施設（同社サービスサイト）。同社の2026年3月のプレスリリースによれば、有償利用の施設は同年2月に25,000を超え、利用する保護者は約416万人、国内の0〜14歳の子どもを持つ保護者のおよそ3人に1人にあたる。平日の午後は、保育園がいちばん忙しい時間帯だ。登降園の記録、保護者への連絡、お迎え時の所在確認が、半日以上、紙と電話に戻った。 同社の事後報告は、ここを飾っていない。利用者への事前案内が不十分だった。予防的な停止であることが十分に伝わらなかった。停止による影響（登降園記録、連絡、決済、期限付きの手続き）を事前に整理していなかった。反省点として、こう並べている。価値観で決めた、という話を美談にする前に、この部分を読んでおいたほうがいい。 日経クロステックの見出しは「葛藤も社長『行動指針で決断』」だった。事後報告のほうは、判断の軸を「お子さまの情報を守ることを最優先にする」に置いていたことが、約30分での決定につながったと書いている。 ## 価値観は、売上を止める日に初めて検証される ここからが本題だ。「安全第一」「お客様第一」を掲げていない会社は、ほとんどない。掲げた言葉が本物かどうかは、平時には分からない。分かるのは、その言葉に従うと売上か顧客か評判を失う日である。それ以外の日、価値観は何も要求していない。 コドモンの事例で私がいちばん注目したのは、誰が、いつ承認したかだ。事後報告によれば、公開が前倒しされた場合はサービスを止めて攻撃を避ける、という方針を、社長、プロダクト本部長、そして営業部門の執行役員が昼前の時点で承認していた。12時37分の決定は、経営メンバーがその承認を新しい情報に当てはめたもので、報告にはそこで改めて役職名は出てこない。営業の責任者が、自分の顧客25,000施設あまりを止めうる方針に、まだ何も起きていない時点で名前を出していた。価値観が制度になっている会社と、額に入れて飾ってある会社の違いは、たぶんここに出る。 もう一つ。判断は固かったわけではない。10時32分には「待つ」だった。11時37分には「夜に止める」だった。12時37分に「いま止める」になった。情報が変わるたびに判断が変わっている。価値観で決めるというのは、最初から結論を決めておくことではなく、情報が変わったときに何を基準に迷わず切り替えるかを決めておくことだと思う。 ## 自社なら、誰が止められるか 外国企業の日本法人に、この問いをそのまま向けてみる。本番サービスを、本社の承認なしに日本の責任者が止められるか。製品の出荷を、顧客への納品を、法人の誰が止められるか。それは文書に書いてあるか。 多くの日本法人で、答えは「本社に聞く」である。本社が8時間後に目を覚ます国にあれば、12時3分の情報は、翌朝まで誰の判断も動かさない。その会社の「お客様第一」は、営業時間内限定ということになる。 責任者が不在のときに誰が決めるのかは、[責任者が不在のとき、日本法人では誰が決めるのか](https://nobusato.jp/ja/blog/who-decides-when-the-boss-is-away?hsLang=ja)に書いた。今回の話はその一段上にある。平時の決裁ルートの問題ではなく、売上を止める権限を、誰に、どの条件で渡しておくかである。[悪い知らせが上がってこない組織](https://nobusato.jp/ja/blog/psychological-safety-bad-news?hsLang=ja)では、そもそも12時3分の情報が経営に届かない。コドモンでは、エンジニアが9時1分にSlackに書き、1時間半後には経営メンバーが知っていた。 制度として書いておくべきことは、たぶん三つに絞れる。止める権限を持つ人の名前。役職名だけでは、その夜に誰が電話に出るか分からない。止める条件。止めたあと、誰に何を知らせるか。最後の一つをコドモンは反省点に挙げた。ここまで書いておけば、価値観で迷う時間は30分で済む。 事後報告のなかに、私が組織の話として読んだ一文がある。自前ビルドの準備は元々の計画になく、エンジニアが自発的に調べ始めたものだった、という箇所だ。昼に経営が売上を止める決定をした会社では、夜にエンジニアが計画外のことを始める。順番は逆にならない。 出典（2026年10月時点） - [コドモン プロダクトチームブログ「PHP2Shellへの対応を振り返って」（2026年10月23日、時系列・承認者・反省点）](https://tech.codmon.com/entry/2026/10/23/173909) - [コドモン「メンテナンス情報」2026年10月21日 第1報〜第3報（全サービスの予防的停止）](https://www.codmon.com/info/maintenance/10243/) - [コドモン「全サービス再開のお知らせ」2026年10月22日・23日](https://www.codmon.com/info/maintenance/) - [コドモン サービスサイト（全国導入施設数25,696、2026年10月1日時点）](https://www.codmon.com/) - [株式会社コドモン プレスリリース「全国25,000施設に導入」（@Press、2026年3月12日：有償利用25,000施設、利用保護者約416万人、保護者のおよそ3人に1人）](https://pc.watch.impress.co.jp/docs/release/atpress/2092668.html) - [日経クロステック「PHP対応で白昼サービス止めたコドモン、葛藤も社長『行動指針で決断』」（2026年10月23日、有料記事）](https://xtech.nikkei.com/atcl/nxt/column/18/00001/12121/) - [情報処理推進機構「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）](https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html) --- 筆者 [佐藤伸明](https://nobusato.jp/ja/profile?hsLang=ja)Nobu Sato 日本市場の立ち上げを、人と仕組みから。組織・営業・技術組織の立ち上げについて、日本語・英語・中国語で書いています。 [プロフィール](https://nobusato.jp/ja/profile?hsLang=ja)[お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja) ## 次に読む 1. 01[人より先に、職位を採点する](https://nobusato.jp/ja/blog/score-the-role-before-the-person?hsLang=ja)約5分 ハックマンとオルダムの職務特性モデルは職位そのものを採点する。五項目の点が低い職位にはどんな人を置いても残らない。採用の前に職位を採点し、低ければ先に職位を直す。 2. 02[人材マップは名簿ではない。本当に答えている問いは何か](https://nobusato.jp/ja/blog/talent-map-is-not-a-list?hsLang=ja)約8分 人材マップが本当に答えるのは「採れないとき、どの要件を手放すか」だ。要件は掛け算で母集団を狭め、企業は領域との距離で三つの輪に分ける。交わりが薄いのは発見であって失敗ではない。 3. 03[アウディF1の1年目を、組織と人材マップから読む](https://nobusato.jp/ja/blog/audi-f1-org-talent-map?hsLang=ja)約19分 開幕2戦でチーム代表が去ったアウディF1。双頭体制、3拠点の人材プール、最も採りにくいポジションを、組織診断とタレントマッピングで分解する。台北拠点立ち上げの実体験も。 [コラムの読み方：組織と採用](https://nobusato.jp/ja/blog/guide-organizations-and-hiring?hsLang=ja) · [用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja) · [記事の土台：方法論](https://nobusato.jp/ja/blog/method?hsLang=ja) [← 記事一覧へ](https://nobusato.jp/ja/blog?hsLang=ja) ## 日本市場での立ち上げについて、三言語で書いています。 [プロフィール](https://nobusato.jp/ja/profile?hsLang=ja) [お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja) 佐藤伸明 / Nobu Sato 日本市場での立ち上げについて、三言語で書いています。 [info@nobusato.jp](mailto:info@nobusato.jp) [note](https://note.com/nobusato5888)[X](https://x.com/nobusato5888)[Facebook](https://www.facebook.com/profile.php?id=61595570232740)[NewsPicks](https://newspicks.com/user/12904929/)[LinkedIn](https://www.linkedin.com/in/realnobusato/) [RSS](https://nobusato.jp/ja/blog/rss.xml?hsLang=ja) [プロフィール](https://nobusato.jp/ja/profile?hsLang=ja)[方法論](https://nobusato.jp/ja/blog/method?hsLang=ja)[記事](https://nobusato.jp/ja/blog?hsLang=ja)[用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja)[お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja) 記事の内容は個人の見解で、所属する組織の立場を示すものではありません。 © 2026 佐藤伸明·[プライバシーポリシー・免責事項](https://nobusato.jp/ja/privacy?hsLang=ja) ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://nobusato.jp/home", "name" : "ホーム", "position" : 1 }, { "@type" : "ListItem", "item" : "https://nobusato.jp/ja/blog", "name" : "記事", "position" : 2 }, { "@type" : "ListItem", "item" : "https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch", "name" : "コドモンは修正版を待たずに止めた。価値観は売上を失う日に試される", "position" : 3 } ] } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch", "@type" : "WebPage", "about" : { "@type" : "Thing", "name" : "組織と採用" }, "author" : { "@id" : "https://nobusato.jp/#person" }, "description" : "2026年10月21日、コドモンはPHPの修正版公開を待たず、情報が変わってから約30分で全サービス停止を決めた。止める方針は営業部門の執行役員も承認していた。「安全第一」が本物かは売上を失う日にしか分からない。自社では誰が止められるか。", "inLanguage" : "ja", "isPartOf" : { "@id" : "https://nobusato.jp/ja/blog", "@type" : "Blog", "name" : "記事" }, "keywords" : "組織と採用", "name" : "コドモンは修正版を待たずに止めた。価値観は売上を失う日に試される", "url" : "https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nobusato.jp/#person", "@type" : "Person", "alternateName" : [ "佐藤伸明", "Nobu Sato", "左滕" ], "description" : "日本市場の立ち上げ（組織・営業・技術）", "knowsAbout" : [ "Japan market entry", "Organization design", "Talent acquisition", "Sales organization building", "Technology organization building", "Japanese labor law" ], "name" : "佐藤伸明", "sameAs" : [ "https://www.linkedin.com/in/realnobusato/", "https://x.com/nobusato5888" ], "url" : "https://nobusato.jp/ja/profile" } ``` ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Nobu Sato", "url" : "https://nobusato.jp/ja/blog/author/nobu-sato" }, "dateModified" : "2026-10-29T14:50:51.348Z", "datePublished" : "2026-10-29T14:50:51.000Z", "headline" : "コドモンは修正版を待たずに止めた。価値観は売上を失う日に試される", "image" : [ "https://nobusato.jp/hubfs/covers-2026-10/codmon-shutdown-before-the-patch-cover-ja-2026-10.png" ], "mainEntityOfPage" : { "@id" : "https://nobusato.jp/ja/blog/codmon-shutdown-before-the-patch", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://nobusato.jp/hubfs/seo/logo-nobusato-2026-10.png" }, "name" : "nobusato.jp" } } ```