2026/11/06

Handbook Studio 5.0.6 ライセンス版リリースのお知らせ

Handbook Studio ライセンス版（オンプレミス版）の新バージョン 5.0.6 へ更新いただく準備が整いましたのでお知らせいたします。

本バージョンは、2026年10月22日にお知らせいたしましたPHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応を含む、セキュリティ修正版です。

PHPの脆弱性に関するお知らせは「【重要】PHP の脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する Handbook の対応について」をご参照ください。

これまでのライセンス版のバージョンアップは、OS環境（Ubuntu LTS）のサポート期限にあわせて、新しいOS環境へデータを移行するマイグレーション作業をお願いしておりました。今回はOS環境の再構築は不要で、お客様のHandbook Studioサーバー上でコマンドを1つ実行いただくだけでアップデートできます。

◇ 暫定対策を適用済みのお客様へ

以前にサポートへお問い合わせいただきましたお客様へご案内いたしました暫定対策（memory_limit = -1、Apacheのメモリ上限の設定）を適用済みの場合も、手作業で設定を戻していただく必要はございません。アップデートの中でPHPの修正版への更新を確認したうえで、自動的に元の設定に戻します。

なお、暫定対策を適用していない環境では、設定は変更されません。

◇ アップデート前の確認事項

・対象
Handbook Studio ライセンス版 5.0.5 をご利用中のお客様が対象です。

・インターネット接続
アップデート中に、UbuntuおよびPHPの配布元からパッケージをダウンロードします。外部への通信を制限している環境では、事前に接続を許可してください。

・停止時間
実行中にApacheが数回再起動するため、数分ほどHandbookにアクセスできなくなります。ご利用の少ない時間帯での実施をおすすめいたします。

・バックアップの取得
コマンドやOSやモジュールの更新を実行する前に完全なバックアップ（VM環境のバックアップ）をお取りいただき、万が一正常にコマンドが完了しない場合は、環境を元に戻せるようにご準備ください。

◇ アップデート手順

1. セットアップガイドに記載の方法で、Handbook StudioのコンテナにSSHで接続します。

2. 以下のコマンドを実行します。

sudo /var/local/onservices/handbook/bin/update.sh 5.0.6

3. 正常に完了すると、各手順の完了メッセージに続いて、最後に「### DONE ###」と表示されます。

（表示例）

HEAD is now at 9800512 5.0.6
...
--- Upgrade 4.sh successfully! ---
--- Upgrade 5.sh successfully! ---
--- Upgrade 6.sh successfully! ---
--- Upgrade 7.sh successfully! ---
--- Upgrade 8.sh successfully! ---
### script upgrade DONE ###
### DONE ###

4. Handbook Studioにログインし、環境設定画面のバージョン情報が「Handbook Studio 5.0.6」になっていることを確認します。

◇ エラーが表示された場合

問題が発生すると「ERROR: upgrade N.sh failed!」と原因が表示され、その時点で処理が停止します。

完了済みの手順は記録されているため、原因を解消したうえで同じコマンドを再実行いただくと、停止した箇所から再開します。

解決しない場合は、表示された内容をそのままサポート窓口までお知らせください。

リリース内容

【製品名】

◇ Handbook Studio ライセンス版 5.0.6

【アップデート内容】

◇ PHPの脆弱性を修正しました（CVE-2026-109618 / CVE-2026-109619、Critical、CVSS 9.2）

内容：認証なしで、外部からサーバー上の任意のコードを実行されるおそれ（リモートコード実行）があります。
対応：PHP 7.2の修正版（7.2.34-66）に更新しました。

◇ CA証明書の問題に対応しました（CVE-2026-111943 / CVE-2026-91403 / CVE-2026-114820 / CVE-2026-115557、Critical）

内容：認証局eMudhra（emSign）の中間証明書の秘密鍵が漏えいし、任意のサイトの偽の証明書を発行できる状態となっています。サーバーから外部への暗号化通信（TLS）全般で、通信経路上の攻撃者によるなりすまし・盗聴（中間者攻撃）のおそれがあります。
対応：問題の2つのルート証明書を信頼しないよう、証明書ストアを更新しました。

◇ Brotli（圧縮ライブラリ）の脆弱性を修正しました（CVE-2026-111497、Critical、CVSS 9.2）

内容：細工された圧縮データの展開時に、メモリ外への書き込みが発生するおそれがあります。なお、Handbookは外部のデータをこのライブラリで展開しないため、実際の影響はございません。
対応：念のため修正版に更新しました。

◇ APT（OSのパッケージ管理）の脆弱性を修正しました（CVE-2026-109518、High、CVSS 7.7）

内容：通信経路上の攻撃者により、パッケージ更新時に不正なファイルを管理者権限でインストールされるおそれがあります。
対応：修正版（2.4.15ubuntu0.1）に更新しました。