Our Response to Critical Vulnerabilities Disclosed in October 2026 / 2026年10月に公表された重大な脆弱性に関する弊社の対応状況について

(日本語は下部にあります)

With the number of vulnerabilities discovered by AI rising sharply, obniz is strengthening its security measures and increasing the frequency of its updates.
This article explains whether our systems are affected by recently disclosed critical vulnerabilities, including the one in PHP’s multipart/form-data handling, and what we have done in response.

PHP (CVE-2026-109618, CVE-2026-109619)

Critical vulnerabilities in PHP were disclosed on October 21, 2026.
obniz does not use PHP. Systems developed by obniz, including obnizOS, obniz Cloud, obniz Now and our websites, are not affected.
We are also checking the status of PHP fixes on the sales channels we use, such as Amazon and other e-commerce sites, and on third-party websites that publish information about obniz.

Node.js (CVE-2026-111497 and others)

Critical vulnerabilities in Node.js were disclosed on October 21, 2026.
obniz distributes an SDK for Node.js (obniz.js) and also uses Node.js in parts of its own systems.
For systems that could be affected, we applied patched versions as emergency maintenance during the window shown below.
https://status.obniz.com/incidents/n065651cjzmn

obniz.js connects only to obniz.com and its related subdomains, and it does not connect to unintended URLs. Even so, we recommend that customers using the SDK update Node.js to the latest patched version.
These vulnerabilities are especially severe in environments where requests to arbitrary URLs can occur. If your application accesses external URLs through code other than obniz.js, we strongly recommend updating as soon as possible.

eMudhra Intermediate CA Certificate

On October 21, 2026, it was announced that the private key of an intermediate CA certificate issued by the certificate authority eMudhra can be recovered.
The certificate chain obnizOS uses to authenticate obniz Cloud servers does not include this intermediate certificate, so server authentication by devices is not affected.

Impact of the Linux Kernel Vulnerability (CVE-2026-99999)

obniz Cloud runs on a combination of multiple cloud services and VPS servers.
In response to the Linux kernel vulnerability, vendors in Japan and abroad, mainly VPS providers, performed emergency maintenance.
As a result, some obniz Cloud services ran into unexpected TCP/IP connection states, and connection performance was degraded.
We sincerely apologize for the inconvenience this caused.
Details of the issue and its duration are available on the obniz status page.
https://status.obniz.com/incidents/qzw4lzh4vspn

obniz devices run on microcontrollers, not Linux, so they are not affected by this vulnerability.

We Recommend Two-Step Verification and Security Settings

obniz Cloud supports two-step verification for accounts and the issuing of access tokens for each device.
Please use these features to protect against unauthorized device control through account takeover, and against device hijacking.

• Two-step verification: https://docs.obniz.com/ja/reference/cloud/account/twostep
• Device security settings: https://docs.obniz.com/ja/reference/cloud/device-management/security-setting

Our Future Security Measures

We expect critical vulnerabilities to be discovered at an even faster pace from now on.
To keep providing secure connections to devices, obniz is adding development resources for OS and server security and running penetration tests that use state-of-the-art AI.
We will continue to research and operate secure, robust microcontroller-based devices and the systems that connect to and control them.

AIによって発見される脆弱性が急速に増加していることを受け、obnizでは対策の強化およびアップデート頻度の向上に取り組んでおります。
本記事では、PHPのmultipart/form-data処理に関する脆弱性をはじめとする重大な脆弱性について、弊社システムへの影響の有無と対応状況をお知らせいたします。

PHP（CVE-2026-109618、CVE-2026-109619）

2026年10月21日、PHPに関する緊急度の高い脆弱性が公表されました。
弊社ではPHPを使用しておらず、obnizOS、obniz Cloud、obniz Now、およびWebサイトを含む弊社開発のシステムに影響はございません。
なお、Amazonをはじめとする販売チャネル（ECサイト）や、弊社情報を掲載している外部Webサイトについては、各運営元における対応状況を随時確認しております。

Node.js（CVE-2026-111497 ほか）

2026年10月21日、Node.jsに関する緊急度の高い脆弱性が公表されました。
弊社はNode.js向けSDK（obniz.js）を配布しているほか、自社システムの一部でもNode.jsを使用しております。
影響を受ける可能性のあるシステムについては、修正済みバージョンを緊急メンテナンスとして下記の時間帯に適用いたしました。
https://status.obniz.com/incidents/n065651cjzmn

obniz.jsの接続先はobniz.comおよびその関連サブドメインに限られ、意図しないURLへの接続は行われません。ただし、SDKをご利用のお客様には、Node.jsを最新の修正済みバージョンへ更新いただくことを推奨いたします。
今回の脆弱性は、任意のURLへのリクエストが発生しうる環境で特に危険度が高くなります。obniz.js以外の処理で外部URLへアクセスするアプリケーションをご利用の場合は、早急な更新を強く推奨いたします。

認証局eMudhraの中間CA証明書について

2026年10月21日、認証局eMudhraの中間CA証明書について、秘密鍵が復元可能であるとの発表がありました。
obnizOSがobniz Cloudのサーバー認証に使用する証明書チェーンには当該中間CA証明書は含まれていないため、デバイスによるサーバー認証に影響はございません。

Linuxカーネルの脆弱性による影響（CVE-2026-99999）

弊社では、複数のクラウドサービスおよびVPSなどのサーバーを組み合わせてobniz Cloudを構築しております。
このたびのLinuxカーネルの脆弱性を受け、国内外のVPSを中心に各ベンダーによる緊急メンテナンスが実施されました。
その影響により、obniz Cloudの一部サービスで予期しないTCP/IP接続状態が発生し、接続パフォーマンスが低下しておりました。
ご利用の皆さまにはご不便とご迷惑をおかけし、誠に申し訳ございません。
発生した事象および期間については、obnizステータスページにて公開しております。
https://status.obniz.com/incidents/qzw4lzh4vspn

なお、obnizのデバイスはLinuxではなくマイコン上で動作しているため、本脆弱性の影響は受けません。

2段階認証およびセキュリティ設定のご活用のお願い

obniz Cloudでは、アカウントの2段階認証や、デバイスごとのアクセストークン発行が可能です。
アカウント乗っ取りによる不正なデバイス操作や、デバイスの乗っ取りを防ぐため、ぜひご活用ください。

• 2段階認証：https://docs.obniz.com/ja/reference/cloud/account/twostep
• デバイスのセキュリティ設定：https://docs.obniz.com/ja/reference/cloud/device-management/security-setting

今後のセキュリティ対策について

今後、緊急度の高い脆弱性はさらに速いペースで発見されていくものと予想しております。
obnizは、今後もデバイスとの安全な接続を提供し続けるため、OSおよびサーバーシステムのセキュリティ対策に向けた開発リソースの強化や、最先端のAIを活用したペネトレーションテストなどに取り組んでおります。
これからも、マイコンによる安全で堅牢なデバイス、およびデバイスへの接続・制御を担うシステムの研究と運用を続けてまいります。