CoDMON没等补丁就停掉全部服务：价值观只在丢营收那天算数

2026年10月21日中午过后，日本全国的保育园，点名册和联络本回到了纸上。给保育园和幼儿园做业务系统的CoDMON（コドモン），从下午1点左右开始，把面向园所和家长的全部服务一个个关了。系统没坏。PHP项目预告当晚11点发布两个高危漏洞的补丁，日本大多数网站都在等那个11点。CoDMON没等。

那天发生了什么

时间线是CoDMON自己公开的。公司的产品开发部长10月23日在技术博客上发了一篇复盘，这篇文章主要用的就是它。

10月21日凌晨4点33分，PHP开发团队预告：两个高危漏洞（CVE-2026-109618和109619，严重度9.2，满分10），修复版当天23点发布，细节暂不公开。日本的信息处理推进机构（IPA）当天也发了提前准备的提醒。

CoDMON内部9点01分有工程师在Slack里报了这事。10点32分到了经营层，当时的方针是「不停，等23点」。11点18分，产品安全团队提议预防性停服。11点37分，和经营层商量后定下：提前告知，配合23点在夜间停；如果补丁提前发，立刻停。

到这一步，和多数公司的判断一样。拐点在12点03分。社交网络和工程师社区开始流传漏洞的位置和修法，意思是攻击不用等到23点就可能成立（复盘也说，流传的信息未必都核实过）。12点37分，经营层紧急商议，决定马上停。13点左右开始逐个停，13点46分家长端联络本App停，14点02分园方管理后台停，14点49分列入停服范围的服务全部停完。从信息变化到拍板，大约30分钟。

信息变了以后30分钟，停掉自己营收的决定就出来了

CoDMON应对PHP漏洞（PHP2Shell）的时间线，2026年10月21至22日，日本时间。据该公司产品开发部长的复盘（2026年10月23日）

1. 4:33PHP开发团队预告两个高危漏洞，修复版当天23点发布，细节不公开
2. 10:32报到经营层此时的方针：「不停，等23点」
3. 11:37定下夜间停服提前告知，23点停；补丁提前就立刻停。社长、产品本部长、营业部门执行役员批准
4. 12:03信息变了漏洞位置和修法在社交网络上流传，23点前攻击就可能成立
5. 12:37决定白天停掉全部服务经营层紧急商议，把上午的批准套到新情况上
6. 14:49全部停完13点左右起逐个停
7. 22:38补丁发布比预告早一点。各分发渠道打包要几小时到几天
8. 次日3:22主要服务恢复用自编译版本恢复。其余22日内恢复，所在确认提醒23日9点恢复

信息每变一次，决定就变一次。没变的是什么排第一。

补丁22点38分发了，比预告早一点。但下午5点左右团队已经发现一个问题：各个分发渠道（Docker官方镜像、Ubuntu的软件包这些）把补丁打包好，要几小时到几天不等。工程师们并行准备了自己编译PHP的方案。22点30分，13个人的夜班团队集合。22日凌晨3点22分，园方后台、家长App和主要服务用自编译版本恢复。其余服务22日白天陆续恢复，最后一个「所在确认提醒」功能23日9点恢复。公司说，没有发现因此导致的非法访问或信息泄露。

代价是什么

看数。CoDMON官网写着，2026年10月1日时点导入设施25,696家。公司2026年3月的新闻稿说，付费设施2月就过了25,000家，用App的家长约416万人，差不多是日本全部0到14岁孩子家长的三分之一。工作日下午，是保育园一天里最忙的时候。入园离园记录、给家长的通知、接孩子时的所在确认，半天多全退回纸和电话。

复盘没有美化这段。反省点里写着：对用户的事前告知不够；「这是预防性停服」这层意思没传到；停服会影响什么（出入园记录、联络、付款、有期限的手续），事前没有梳理。想把这事讲成英雄故事之前，先读这段。

日经xTECH的标题是「葛藤も社長『行動指針で決断』」，社长说是按公司的行动指针定的。复盘里写的是，判断的轴事先就放在「保护孩子的信息最优先」上，才有了30分钟的决定。

价值观只在丢营收那天被检验

说正题。墙上没挂「安全第一」「客户第一」的公司，几乎找不到。挂上去的字是真是假，平时看不出来。看得出来的那一天，是照着做会丢营收、丢客户、丢名声的那一天。其他日子，价值观对你没有任何要求。

这个案例我最在意的一个细节，是谁在什么时候批的。复盘里写，「补丁提前公开就停掉服务、躲开攻击」这条方针，上午就由社长、产品本部长，还有营业部门的执行役员批准了。12点37分的决定，是经营层把这个批准套到新情况上，复盘里那一段没再点名。也就是说，管销售的人，在什么都还没发生的时候，就在一条可能把自己25,000多家客户停掉的方针上签了名。价值观是制度还是装饰，差别大概就在这儿。

再一个。这个决定不是一开始就硬的。10点32分是「等」，11点37分是「晚上停」，12点37分是「现在停」。信息每变一次，判断就变一次。靠价值观决策，意思是先定好信息变了的时候按什么标准切，而不是先定好结论。

换到你的公司，谁能按停

把这个问题直接扣到外国公司的日本法人上。日本负责人能不能不经总部批准就停掉线上服务？法人里谁有权叫停一批出货、一次交付？这事写在哪份文件里？

很多日本法人的真实答案是「问总部」。总部在一个要晚8个小时才醒的时区，12点03分的信息就要等到第二天早上才会有人拍板。那家公司的「客户第一」，是有营业时间的。

算一笔账。CoDMON停了半天，25,696家客户回到纸面操作，这是看得见的成本。反过来，一个装着全国三分之一家长的孩子信息的系统被打穿，是另一种成本：赔偿、监管、信任，一样都不会小。两边摆在桌上，30分钟就够拍板，前提是轴早就定好了。

一把手不在的时候谁说了算，我在一把手不在的时候，日本法人谁说了算里写过。今天这个问题在它上面一层：平时的审批链怎么走是一回事，停掉营收的权限交给谁、在什么条件下，这得事前定。坏消息传不上来的组织，12点03分那条信息根本到不了经营层。CoDMON那边，工程师9点01分写在Slack里，一个半小时后经营层已经知道了。

要写进制度的，大概就三条：有权按停的人的名字（光写职位，那天晚上不知道该给谁打电话）；按停的条件；按停之后通知谁、通知什么。最后那条CoDMON自己列进了反省。制度写好了，靠价值观纠结的时间，30分钟就够了。

复盘里有一句，我当成组织的故事来读。自编译PHP的方案，原本不在计划里，是工程师们自己查起来的。白天经营层敢停营收的公司，晚上工程师才会干计划外的事。顺序反不过来。

---