【EC事業者向け】PHP脆弱性php2shellで止まったカート・モールを一晩追跡

こんにちは、ツバサです。

PHPの重大な脆弱性「php2shell」の修正版が出た2026年10月21日の夜、各社の告知とSNSを一晩追いかけた。先に結論を書くと、止まったのは買い物をする人が使う画面より、出店者が使う管理画面や受注システムのほうだった。楽天の店舗管理画面RMSは夜中に少なくとも約5時間入れなくなり、受注管理や倉庫のシステムも止まり、futureshopは全店舗のECサイトと管理画面が朝になっても戻らなかった。

各社の対応を比べると、評価を分けたのは止めていた時間の長さより、止めている間に何を知らせたかだった。理由と範囲と見通しを書き続けたLOGILESSやエックスサーバーと、メンテナンス画面だけを出していた楽天RMSやネクストエンジンとでは、出店者が朝の段取りを決められるかどうかがまったく違った。いちばん見通しが外れたのは、「30分〜1時間程度」の予定が夜通しの全店舗停止になったfutureshopだ。

この記事は、日本時間21日夕方から22日朝までに確認できたことを、時刻つきで残した記録だ。時刻は各社の告知や公式アカウントの投稿で確かめたものを使い、確かめられなかったことはそう書いている。

php2shell（CVE-2026-109618・CVE-2026-109619）とは｜PHP公式の事前告知の内容

PHPの開発チームは2026年10月20日、公式サイトのニュース欄に「Upcoming Critical PHP Security Release」という告知を出した。CVSS v4.0で9.2と評価された重大な脆弱性2件を修正するリリースを、10月21日14時（協定世界時）に出すという内容だ。日本時間では21日の23時にあたる。

告知の時点では、どのバージョンが影響を受けるのか、どう直るのかは書かれていなかった。影響するバージョンと修正版はリリース時に公開する、と書かれていただけだ。そのうえで、脆弱性の詳細が外に出た場合や実際の悪用が確認された場合は、予定より早くリリースすることがあるとも明記されていた。

報道では、2件はCVE-2026-109618とCVE-2026-109619として扱われ、外部からサーバー上で任意のコードを実行されるおそれがあるとされた。研究者の間では「php2shell」という呼び名が使われている。IPAも21日に、PHPの修正版が出たらすぐ当てられるよう事前の準備を呼びかける注意喚起を出した。この時点でIPAは、悪用された攻撃は確認していないとしていた。

EC担当の立場で言うと、まず気にするのは「うちの店はPHPで動いているのか」だ。WordPressやWooCommerce、EC-CUBEなどで自社サイトを作ってレンタルサーバーに置いている場合は、サーバーのPHPそのものが対象になる。BASEやShopifyのように運営会社が丸ごと提供するサービスなら、店側でPHPを触ることはなく、運営会社の対応を待つことになる。今回は後者の運営会社が次々に止まったので、自分では何もできないままネットショップが止まった出店者が多かった。

PHP修正版の公開前に止まったサービス｜BASE・エックスサーバー・コドモンの緊急メンテナンス時系列

PHPの修正版が出る前から、国内のサービスは次々に止まっていった。公式の告知や公式アカウントの投稿で時刻を確かめられたものを、日本時間で並べる。右の列には、各社が止めた理由を告知にどう書いたか、国の呼びかけが何についてのものだったかを書いた。

首相が個別の脆弱性について「今夜」と期限を切って呼びかけるのは、僕の記憶ではあまり見たことがない。表示回数は2,000万回を超えていた。

表を作っていて気になったのは、理由の書き方がそろっていないことだ。BASEやカラーミーショップはPHPの名前をはっきり出している。一方で、さくらやConoHa WING、お名前.comは理由を書かずに「保守作業」とだけ書いていた。コドモンは「利用しているソフトウェア」とぼかしている。止める側にも、名前を出すと「うちのシステムはPHPで動いている」と公表することになる、という事情があるのかもしれない。

PHP 8.5.12など修正版は予定より前に公開された｜php2shellの悪用観測は「攻撃あり」と「被害未確認」に割れた

PHPの修正版は、予告の23時を待たずに出た。GitHubのセキュリティ勧告が公開されたのは22:34で、予定の26分前だ。前倒しの理由は、PHP公式のどの告知にも書かれていなかった。

PHP公式の勧告によると、影響を受けるのは各系列で修正版より前のバージョンだ。8.1以前には、PHPのプロジェクトとしての正式な修正版は出ない。ただ、深刻さを考えて、7.4・8.0・8.1向けに今回の2件だけを直す最小限のソースの修正が、自分でビルドする人向けに用意された。設定を変えて防ぐ方法についても、「完全な緩和策はない。更新だけが安全な選択」と書かれていた。

悪用については、夜のあいだ見解が割れたままだった。Cloudflareは攻撃の通信を観測し、watchTowrも23:35に「実際の悪用あり」へ切り替えた。ただ、watchTowrの観測は自社が世界中に置いたおとりのサーバー（ハニーポット）に届いた攻撃のことで、どこかの会社が侵入されたという話とは別だ。一方で、PatchstackはPHPの修正版の公開直後の時点で「探りを入れる攻撃だけで、侵害の確証はない」としていた。国内でも、IPAとJPCERT/CCの注意喚起は、PHPの修正版が出たあとの深夜のうちには更新されなかった。

「攻撃が来ている」と「被害が出た」は、同じ話のように聞こえて中身がまったく違う。SNSでは前者が後者のように語られる場面が何度もあった。僕は、会社名と被害がセットで公式に発表されるまでは「被害」とは書かないことにした。

見つけた経緯については、日付が変わってから報道が出た。セキュリティ企業のCalifが8月に2件を見つけてPHPに報告し、Wizも別に見つけて報告していたという。CalifはOpenAIの脆弱性対策の取り組みの一環として調べていたそうだ。

楽天RMS・ネクストエンジン・LOGILESSも停止｜php2shellでEC出店者の受注・出荷業務が止まった場所

今回いちばん書き残しておきたいのが、この見出しの話だ。買い物をする人が使う画面は動いているのに、出店者が使う管理画面が止まっていた。

21日の夜、楽天市場では買い物も検索もいつもどおりできた。ところが店舗が使う管理画面のRMSは、23:17に開いたときにはメンテナンス画面になっていた。画面の文面は「システムの不具合のため」で、PHPという言葉は出てこない。楽天市場の購入者向けの障害情報ページにも「報告されているメンテナンス・障害情報はございません」と出ていた。この日は楽天のブランドデーの最終日で、注文は入ってくるのに、店のほうは受注を処理する画面に入れない状態だったことになる。

受注や在庫をまとめて管理するツールや、倉庫のシステムも止まった。受注を処理して出荷するには、モールの管理画面とこうしたツールの両方が動いている必要がある。僕の職場でも、朝いちばんに受注を取り込んで出荷指示を出す流れなので、どちらか片方が朝まで戻らなければ、その日の発送はまるごと後ろにずれる。

いちばん長引いたのはfutureshopだ。告知の流れを並べる。

futureshopで店を出している会社にとっては、夜から朝まで、ECサイトも管理画面も使えない状態が続いたことになる。

表の「〜のあいだに戻った」は、僕が30分ほどの間隔で見に行って、前回は止まっていて今回は戻っていた、という意味だ。各社が復旧の時刻を告知していなかったので、この幅でしか書けない。

一方で、Amazon、Yahoo!ショッピング、Qoo10、ZOZOTOWNは、外から見える範囲では一晩じゅう変化がなかった。告知も出ていない。メルカリは22:50に「臨時メンテナンスを実施する可能性」を告知したが、結局止めなかった（この経緯は後で書く）。

お金まわりも見ておく。クレジットカード会社は、22日8:07に主な10社（楽天カード・三井住友カード・JCB・セゾン・イオン・エポス・PayPayカード・dカード・アメックス・三菱UFJニコス）の公式サイトを開いたが、メンテナンス画面になっているところはなかった。会員ページの中までは確認していない。銀行と証券会社では、共同通信が次のように伝えていた。

Xでは出店者の声も流れていた。名前は伏せて、内容だけ書いておく。

カートやモールが止まると、そのサービスで店を出している人が、自分のお客さんに事情を説明することになる。昨晩は、それがいくつも重なっていた。

エックスサーバー・さくら・ロリポップの対応｜修正版が出ないPHP 8.1以前は独自修正待ち

自社サイトを自前のPHPで動かしている場合、頼りになるのはレンタルサーバー会社の対応だ。今回は各社とも、利用者のサイトの表示は止めずに、自社の公式サイトや管理画面のほうを止める形が多かった。

EC担当として気になったのは、エックスサーバーが出した進捗だ。並べると次のとおり。

なお、3:55時点の進捗は、僕が4:11から7:03までに何度か見たときには表示されておらず、7:40に見たときに6:45時点の進捗と一緒に出ていた。

PHP公式は8.1以前に正式な修正版を出さない（7.4・8.0・8.1向けには、自分でビルドする人向けの最小限のソースの修正だけが出た）。古いPHPのまま動いているサイトは、サーバー会社が独自に手当てしてくれるのを待つか、自分でバージョンを上げるしかない。サーバーの管理画面でPHPのバージョンを選べる場合、何年も前に設定したまま放ってあることはよくある。僕も今回、担当しているサイトの設定を見直すつもりだ。

お名前.comについては、手元で確かめられたことがある。うちの会社のサイトはWordPressで作ってあり、お名前.comのレンタルサーバーに置いている。注文を受けるネットショップではなく、会社の案内やお知らせを載せているサイトで、ページの更新は僕がやり、サーバーまわりは制作会社に任せている。その制作会社に確認してもらったところ、22日11時ごろの時点でPHPは8.5.6のままで、修正版の8.5.12は当たっていなかった。サーバー全体に暫定の対策はかかっていると聞いたが、PHP公式は「完全な緩和策はなく、更新だけが安全な選択」としている。お名前.comのお知らせにも、10:55の時点でPHPについての告知はなかった。確かめられたのは1つのサーバーだけなので、お名前.comのすべてのサーバーが同じとは言えない。

11時を過ぎて、うちが保守を依頼している制作会社がお名前.comの管理画面から状況を確かめようとしたところ、混雑していてアクセスできず、時間を空けて調べ直すことになった。困っていたのはうちだけではない。Xでは10時半ごろから、お名前.comのサーバーに置いたWordPressのサイトについて、PHPを上げようとしたがログインできない、混雑していて入れない、という投稿がいくつも流れていた。11時過ぎにXに出ていたサーバー各社の対応状況のまとめでも、エックスサーバーとさくらは対応済み、お名前.comは対応未確認とされていた。

お名前.comのレンタルサーバーの緊急メンテナンスが終わったのかどうかも、はっきりしない。予定では22日10:00に終わるはずだったが、終わったという告知は見つからなかった。夜中に出ていたメンテナンスの告知のページは、朝から開けたり開けなかったりしていて、10:17に見たときは開けなかった。11:15ごろにお名前.comのお知らせのページを開くと、「発生中のメンテナンス・障害」の欄に「レンタルサーバー ベーシック・RS / AIホームページパック」が「10/22 23:59 終了予定」として出ていた。ただ、詳しいページは開けず、何のメンテナンスなのかは分からなかった。ページを開き直すと、この欄の一覧ごと消えていた。

Xでも10時台に、メンテナンスは時間的には終わっていそうだが、終わったとも終わっていないとも書かれていない、という投稿や、お名前.comからPHPについての通知が何も来ない、という投稿が出ていた。

そのあと、22日のうちに、お名前.comはPHPについての告知「【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応について」を出した。掲載の時刻は書かれていないが、10:55にお知らせの一覧を見たときにはまだ出ていなかった。告知では、21日から続けていた緊急メンテナンスと、ファイルマネージャー・Webメールの一時停止は、どちらもPHPの脆弱性への対応だったと書いている。前の夜の告知が「システムの保守作業」とだけ書いていたものの理由が、ここで初めて分かったことになる。

ただ、肝心のセキュリティパッチの適用は「順次進めております」とあるだけで、いつ終わるのかは書かれていなかった（20時45分時点で完了したという告知は、この節の最後の続報に書いた）。利用者が使っているPHPのバージョンはそのままで、お名前.comがパッチを当てるので、基本的には利用者がPHPのバージョンを変える必要はない、という案内だった。PHPの5系や7系を使っている場合は、バージョンの変更が必要なこともあるとしている。

同じ日には、22日12:00〜21:00の緊急メンテナンスも新しく告知された。対象はレンタルサーバーのベーシック・RSプラン・AIホームページパックと、共用サーバーSD・ホームページエディターの利用者で、作業内容は前の夜と同じ「システムの保守作業」だった。サーバーを再起動するので、サーバーごとに数分から数十分ほど使えない時間が出ると書いている。

同じ時間のエックスサーバーとさくらを並べると、差ははっきりしている。

エックスサーバーとさくらは、修正をサーバー会社の側で当てて、当てたことを知らせていた。利用者は管理画面に入れなくても、告知を読めば待っていればいいと分かった。お名前.comは、修正を当てたという知らせがないうえに、自分で設定を確かめようにも管理画面に入れない。22日11時半の時点で、お名前.comの利用者は、修正が当たったかを確かめる方法も、安心できる情報も持てていなかった。そのあとに出た告知でも、パッチを当て終わる時刻は書かれておらず、12:00からは新しい緊急メンテナンスが始まった。

22日夜の続報：お名前.comは20時45分時点で修正の完了を告知した

22日の夜、お名前.comは「【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応完了のお知らせ」を出した。20時45分時点で、レンタルサーバーのベーシック・RSプラン・AIホームページパックのサーバーへのセキュリティパッチの適用を終え、12:00〜21:00の予定だった緊急メンテナンスも20時45分に終わったという。Webメールとファイルマネージャーは18:30ごろに、phpMyAdminもあわせて再開した。告知に掲載の時刻は書かれておらず、20時50分ごろにお知らせのページを見たときは、まだ「メンテナンス中」と表示されていた。

パッチは、PHPのバージョンを上げずに修正プログラムだけを取り込む形で、提供中のすべてのバージョン（5.6〜8.5）に当てたとしている。そのため、WordPressの「サイトヘルス」などに表示されるバージョン番号は、PHP公式の修正版の番号（例：8.5.12）にはならず、これまでと同じ番号（例：8.5.11）のままの場合があると注意書きしていた。利用者がPHPのバージョンを変える必要はないという。

午前中に管理画面に入れなかったことについても、同じ日に告知が出た。お名前.comは、22日8:50ごろから17:15ごろまで、管理画面のお名前.com Naviにログインすると500エラーになる障害が起きていたとしている。うちが保守を頼んでいる制作会社が11時過ぎに入れなかったのも、この時間帯だった。

エックスサーバーとさくらと比べて、どれくらい遅かったかを並べておく。PHPの修正版が公開された21日22:34から、各社が修正を終えたと告知した時刻までの時間だ。

お名前.comは、さくらやエックスサーバーの3倍近い時間をかけ、完了したのは2社が終えてから半日以上あとだった。その間、パッチがいつ当たるのかの見通しは示されず、朝から夕方までは管理画面にも入れなかった。お名前.comの評判を、口コミサイトの声や過去の出来事も含めて調べた記事は「お名前.comの評判は？｜さくら・エックスサーバーなど競合レンタルサーバー会社と比較してみた」にまとめた。

一晩で書き換わった告知と、SNSで流れてきた話の答え合わせ

今回は各社の告知ページの文面を30分おきに保存して、前回との違いを比べていた。すると、告知は出したら終わりではなく、夜のあいだに何度も書き換わっていた。

SNSで流れてきた話も、確かめられる範囲で確かめた。

futureshopは21日に、自社サーバーへの不正アクセスを公表していた（10:14ごろに確認）。同じ日にPHPの対応で一部機能も止めているが、2つは別々の告知に分かれていて、不正アクセスのほうにPHPへの言及はない。タイミングが重なっているので結びつけて語られやすいが、公式の発表からは関係があるとは言えない。

お名前.comのデスクトップクラウドも同じだ。21日に「第三者による不正アクセスに関するお詫びとお知らせ」（4:00時点）を出していて、20日に一部の利用者のサーバー環境で第三者による不正なプログラムの設置を確認したこと、影響の可能性があるサーバーが26,739件あること、21日4:00から順に全プランのサーバーを止めていることが書かれていた。ただ、この告知にも原因は書かれておらず、PHPやphp2shellへの言及はない。PHPの情報が出回り始めた時期と重なっているが、公式の発表からは関係があるとは言えない。22日に出た第2報では、サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に使われた可能性があるとして、利用者にパスワードの変更を呼びかけ、22日に警察に相談したと書いている。第2報でも侵入経路は調査中とされ、PHPへの言及はなかった。

php2shellの夜の対応を出店者の立場で評価する｜futureshop・ネクストエンジン・楽天RMSとLOGILESS・エックスサーバーの差

ここまでの記録をもとに、出店者として各社の対応をどう見たかを書く。見ているのは、止めた時刻、止まっていた長さ、告知の中身の3つだ。どの会社も夜中に作業していたことは前提として、そのうえで差が出たところをはっきり書いておく。

対応がうまくいかなかった3社

早かったところ、遅かったところ

php2shellの2件を直したPHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開されたのは22:34だ（GitHubでPHPのセキュリティ勧告が公開された時刻）。それより前に止めた会社と、それ以降に止まっているのを確認した会社に分けると、次のようになる。楽天RMS・GoQSystem・SBペイメントサービスは、止めた時刻が告知されていないので、僕が最初に止まっているのを見た時刻で書いている。

首相や国家サイバー統括室が「今夜」と呼びかけ、海外では攻撃の兆しも報じられていたなかで、BASEやエックスサーバーは夕方のうちに動いた。早く止めれば店側の損失は増えるが、PHPの修正版が出た瞬間に当てられる状態を作っていたのはこちらだ。一方、PHPの修正版が出た後に止まったところは、止めた時刻も理由も分からないものが多かった。

22日10:48の時点で止まっているところ、早く戻ったところ

いちばん長く止まったのはBASEで、21日15:50から22日8:00まで約16時間だった。早く止めたぶん、止まっている時間も長くなった。次がネクストエンジンの約14時間だ。受注と出荷に直接かかわる管理画面やツールでは、LOGILESSが1時台、楽天RMSとMakeShopが4時台、GoQSystemが7時台、BASE・カラーミーショップ・ネクストエンジンが8〜9時台に戻った。futureshopは10:48の時点でも戻っておらず、再開の見込みは12:30ごろだ。

説明が足りなかったところ、丁寧だったところ

futureshopは見通しこそ外れたが、6:00の第二報では現状、止まっている範囲、次の案内の時刻まで書いていた。外れたあとの説明は、告知を出さなかった会社よりずっとましだと僕は思う。

止まっていても、理由と範囲と次の案内の時刻が分かれば、出店者はお客さんへの連絡や出荷の段取りを決められる。告知のないメンテナンス画面だけでは、それができない。

現時点の感想｜任せたいと感じた3社、不安が残った3社

ここからは、22日11時ごろの時点での僕の感想だ。料金や機能は比べていない。昨晩、緊急のときにどう動いて、どう知らせたかだけを見ている。

楽天RMSも、少なくとも約5時間、店舗の管理画面に入れなかったのに「システムの不具合のため」とだけ書き、何が起きているのかの説明がなかった。ただ、4時台には戻っていて、出店先として外すのも難しいので、頼り切りにしない準備をしておく相手として見ている。

AmazonとShopifyは、外から見える範囲では一晩じゅう変化がなかった。止まらなかったことが何よりだが、緊急時にどう知らせるかは今回は見られていないので、上の表には入れていない。

カート・受注管理・サーバー会社を選ぶ側として、緊急メンテナンスの告知で見えたこと

僕は仕事柄、外注先や使うサービスを選ぶ側にいる。一晩じゅう各社の告知を見比べて、ふだんの営業資料では分からない違いがはっきり出たと感じた。次に業者を選ぶときに見るところとして、4つ書いておく。

1つ目は、止めた理由を書いているかどうか。BASEやカラーミーショップはPHPの脆弱性への対応だと最初から書いていた。理由が分かれば、利用者は「自分の店にも関係があるか」を判断できる。逆に「保守作業」「不具合」とだけ書かれると、利用者は何が起きているのか分からないまま待つことになる。

2つ目は、時刻と見通しを書いて、ずれたら知らせるかどうか。LOGILESSは予定より早く戻り、MakeShopは予定の4:00を過ぎても告知がないまま止まっていて、4:41までには戻った。futureshopは「30分〜1時間程度」の予定が夜通しの停止になったが、6時に第二報を出して、次の案内の時刻まで書いていた。止まっている時間そのものより、次にいつ情報が出るかが分かるほうが、現場は段取りを組みやすい。

3つ目は、止める範囲を絞っていたかどうか。エックスサーバーやmixhostは、利用者のサイトやメールは止めずに、自社の管理画面などを止めた。GMOペイメントゲートウェイは、止めたのは会社のサイトだけで決済には影響がないと明記していた。どこまで止まっていて、どこは動いているのかが書いてあると、問い合わせをしなくて済む。

4つ目は、告知をどこに出すか。今回は、告知ページそのものがメンテナンス画面に変わって読めなくなる会社がいくつもあった。公式Xやステータスページなど、本体とは別の場所に情報を出していた会社のほうが追いやすかった。

自分の側でやっておくことも書いておく。使っているカート、モール、受注管理、決済代行、サーバーのそれぞれについて、告知ページ、ステータスページ、公式Xの場所を一覧にしておくこと。自社サイトがあるならPHPのバージョンを確かめておくこと。それから、管理画面が朝まで戻らなかったときに、受注の確認と出荷をどうするかを決めておくことだ。昨晩の動きを見ていて、この3つはどれも、起きてから調べ始めたのでは間に合わないと思った。

AIで脆弱性が見つかりやすくなった今、EC事業者が安全に運用するためにやっておくこと

今回の2件は、セキュリティ企業がAIを使った調査の中で見つけてPHPに報告したと報じられている。守る側がAIで脆弱性を見つけられるなら、攻撃する側も同じことができる。しかも今回は、修正版が出る前に情報が出回り、Sansecは「修正版の公開から15分以内に大量の悪用が始まる」と予測していた。脆弱性が見つかってから攻撃が始まるまでの時間は、これからも短くなる一方だと僕は考えている。

そうなると、修正版が出てから慌てて調べ始めるのでは間に合わない。昨晩、早く止めて早く戻ったところと、止まったまま説明もなかったところの差を見て、EC事業者として普段からやっておくことを表にまとめた。

どれも、起きてから調べ始めたのでは間に合わないものばかりだ。僕も自分の担当しているサイトとサービスについて、この表を埋めるところから始める。

最後に、この記事の評価は、22日朝の時点で外から見えたことだけをもとにしている。この先、修正を当てきれていなかったサーバーが攻撃を受けることもあり得るし、実は昨晩のうちに侵入されていて、調べ終わってから発表される会社が出てくることも考えられる。不正アクセスの発表は、発生から数日たって出ることが多い。今回「任せたいと感じた」3社も、後から出てくる発表しだいで評価がひっくり返る可能性はある。逆に、昨晩は説明が足りなかった会社が、あとから丁寧な報告を出すこともあるだろう。

なので、この記事は一晩の記録として読んでほしい。新しい発表が出たら、追記していくつもりだ。

FAQ

よく読まれている記事

PICK

「おすすめ比較記事」をGoogleが規制？｜No.1表記の法的リスクとAI検索

No.1表記は景品表示法違反のリスクがある。Googleの規制・法的リスク・AI検索の3軸で、おすすめ比較記事の信頼性を整理した。

SEO・LLMO

PICK

写真レタッチの料金相場｜外注15社を比較【2026年版】

各社バラバラな料金体系を1ページにまとめました。外注先を比較するときの参考に。

レタッチ・画像加工

PICK

ささげ業務の代行会社おすすめ20選｜選び方と費用相場【2026年版】

撮影・採寸・原稿の頭文字をとった「ささげ」の意味から、代行会社20選の選び方・費用相場まで。EC担当者が外注先を探すときの備忘録。

EC・実務

PICK

有名レタッチ会社9社の法人情報を比較｜資本金・設立年・従業員数・取引先【2026年版】

法人9社の資本金は300万円〜1億円、9社すべてが取引先社名を公開。技術力以外に審査される法人格・設立年・取引先の公開状況を整理。

レタッチ・画像加工

ツバサ

EC関連の会社で働いています。少人数の職場なので、ささげ業務の手配から画像の外注管理、ページ更新、バイトさんへの作業指示まで守備範囲は広めです。Photoshopは苦手なので本格的な画像加工は外注に出していますが、何社も試した分、業者選びや納品チェックには慣れました。このブログは仕事の中で身につけたことの記録です。