Creemaが緊急メンテナンスで全面停止、10月22日8時まで予定　外部ソフトウェアの安全確認のため

ハンドメイド作品のマーケットプレイス「Creema（クリーマ）」を運営する株式会社クリーマは2026年10月21日、同日16時45分から緊急メンテナンスを実施していると公式Xで発表しました。Creemaのアプリ、Webサイト、管理画面が利用できない状態となり、メンテナンスは22日8時までを予定しています。

同社は、外部ソフトウェアのセキュリティに関する状況を踏まえ、利用者の情報と取引の安全を守るための予防措置としてサービスを一時停止したと説明しています。今回の事象に起因する不正アクセスや情報漏えいは確認されていないとしています。

同じ10月21日には、PHPの重大な脆弱性への予防措置としてBASEやコドモンもサービスを停止しました。Creemaの公式発表は対象ソフトウェアを特定していませんが、同社のエンジニア採用ページにはPHPの開発経験を応募要件の一つとする記載があり、PHPとの関連は確認すべき可能性の一つです。ただし、採用要件だけで現在の本番環境にPHPを利用していることや、今回の停止原因を断定することはできません。

Creema緊急メンテナンスのサマリー

• 2026年10月21日16時45分から緊急メンテナンスを開始。
• 終了予定は10月22日8時。作業状況によって早期終了、または延長の可能性があります。
• 対象はCreemaアプリ、CreemaのWebサイト、管理画面です。
• 外部ソフトウェアのセキュリティに関する状況を受け、安全性の確認と必要な対応を実施しています。
• 停止は予防的な措置であり、同社は本件に起因する不正アクセス・情報漏えいを確認していないと発表しています。
• 延長する場合は、Creemaトップページのメンテナンス表示で案内するとしています。
• PHPの開発元は同日、CVSS v4.0で9.2と評価した重大脆弱性2件への修正版公開を23時（日本時間）に予定しています。
• BASEとコドモンはPHPへの対応を停止理由と説明していますが、Creemaが同じ脆弱性を理由に停止したかは確定していません。

外部ソフトウェアのセキュリティ状況を受け、サービスを予防的に停止

Creemaは、外部ソフトウェアのセキュリティに関する状況を受け、情報や取引の安全を確保するため、一時的なサービス停止を決めました。メンテナンス中に必要な対応と安全性の確認を進めています。

公式告知では、対象となる外部ソフトウェアの製品名、脆弱性番号、影響する構成要素などの詳細は示されていません。したがって、特定の脆弱性が悪用されたことや、Creemaのシステムに侵入があったことを意味する発表ではありません。

PHPの重大脆弱性2件、10月21日23時に修正版公開予定

PHP開発チームは10月20日、Webアプリケーションなどで使用されるプログラミング言語「PHP」に、重大な脆弱性が2件あると事前に発表しました。いずれも共通脆弱性評価システム「CVSS v4.0」で9.2（Critical）と評価されており、10月21日14時（UTC）、日本時間では同日23時に修正版の公開を予定しています。

脆弱性の悪用によって、構成や条件によってはサーバーの安全性が損なわれる懸念があるため、PHPを使用するWebサービスには影響調査と修正適用の準備が求められています。PHP開発元の予告時点では、影響する正確なバージョン、修正版、技術的な悪用条件などは未公表でした。IPAも10月21日付の事前注意喚起で、同機構として今回の2件を悪用した攻撃を確認していないと説明しています。

したがって、この緊急更新の公表だけを根拠に、Creemaが特定の脆弱性を悪用された、または侵入を受けたと判断することはできません。

Creemaの停止理由はPHPか――技術スタックからみた関連の可能性

Creemaが公表した停止理由は「外部ソフトウェアのセキュリティに関する状況」です。製品名や脆弱性番号の記載はありません。一方、株式会社クリーマの公式採用ページ「Webアプリケーションエンジニア」では、バックエンドの応募要件に「PHPを利用したWebアプリの開発経験3年以上」、または「PHP以外のLL言語を利用したWebアプリの開発経験5年以上」という条件が示されています。

これは同社のWebアプリ開発でPHPが関係する可能性を検討する材料にはなりますが、現時点のCreema本番環境がPHPを利用している証拠ではありません。10月21日にPHPの重大脆弱性が公表され、他社がPHPへの対応でサービスを止めたという時系列上の一致と、Creema自身が発表した技術的な原因は分けて考える必要があります。

同日の緊急停止、BASEとコドモンはPHPへの対応を明示

同日には、ネットショップ作成サービス「BASE」と保育・教育施設向けICTサービス「コドモン」も、予防的なメンテナンスにより主要な機能を停止しています。

BASEは当初、データベースの緊急メンテナンスと案内していましたが、10月21日15時50分時点の公式ヘルプに、PHPの重大脆弱性を受けた予防的措置である旨を追記しています。コドモンもPHPへの対応を説明しています。いずれも、停止の実施だけをもって不正アクセスや情報漏えいが発生したとするものではありません。

詳しい停止範囲と利用者への影響は、セキュリティ対策LabのBASE緊急メンテナンスの記事およびコドモンのPHP脆弱性対応の記事でも整理しています。

アプリ・Webサイト・管理画面が利用不可、販売者の受注対応にも影響

今回のメンテナンスは購入者が利用するアプリやWebサイトだけでなく、クリエイター・出品者が操作する管理画面も対象です。

停止中は、Creema上での商品閲覧・購入手続きに加え、販売者が管理画面から受注内容を確認したり、出品情報や取引状況を更新したりする操作が行えなくなります。発送予定がある出品者は、作業再開後に未確認の注文や購入者からの連絡、発送状況を確認する必要があります。

Creemaの案内では、22日8時を終了予定としていますが、安全確認の進捗によって時間が変わる可能性があります。利用者は、公式Xの案内やトップページのメンテナンス表示を確認してください。

出品者・購入者が確認したいこと

出品者はサービス再開後、メンテナンス前後の注文履歴と未対応の取引、購入者への連絡、発送期限を確認することが考えられます。購入者は、メンテナンス直前に注文・決済操作をした場合、再開後に注文履歴を確認し、重複注文を避けるため処理結果が分かるまで安易に再購入しないよう注意が必要です。

同社は今回の事象に起因する情報漏えいを確認していません。現時点で、今回の停止だけを理由にパスワードや決済情報が流出したと判断する根拠はありません。メンテナンスを装う不審な案内が届いた場合は、メールやSNSのリンクを開く前に、公式の案内先を直接確認する方法が有効です。

出典

• 【重要】緊急メンテナンスのお知らせ（2026年10月21日） – Creema公式X
• Webアプリケーションエンジニア 採用情報 ― 株式会社クリーマ
• Upcoming Critical PHP Security Release ― The PHP Group（2026年10月20日）
• 【事前準備のお願い】PHPのセキュリティリリース公開予定について ― IPA（2026年10月21日）
• 【重要】緊急メンテナンスに伴うサービス停止のお知らせ ― BASE公式ヘルプ（2026年10月21日更新）
• 【緊急メンテナンス】サービス停止を伴う緊急メンテナンス実施のお知らせ ― コドモン（2026年10月21日）
• Creema公式Webサイト