パッチノート (v3.5.4)

今回のアップデートについて

いつもOkayuをご利用いただきありがとうございます。v3.5.4の掲載内容を拡充し、前回のv3.5.3（2026年10月12日）公開後から2026年10月23日までにmainへ反映した変更をまとめました。PHPの注意喚起に加え、毎日のサーバー管理で使う画面や操作の改善もご案内します。

この記事は2026年10月22日に公開し、10月23日に機能・UIの更新内容を追記しました。

ダッシュボード｜変更をまとめて確認できる保存バー

設定画面に置かれていた個別の保存ボタンを、変更したときだけ下から現れる共通の保存バーへ置き換えました。設定を編集してから、保存するか元に戻すかを同じ場所で選べます。

• 編集内容と保存済みの値を比較し、差分があると「未保存の変更があります。変更を保存しますか？」と表示します。値を元に戻すと、未保存の扱いも解除されます。
• 赤い「キャンセル」で編集内容を保存済みの状態へ戻し、緑の「保存」で変更を送信できるようにしました。
• 保存中は進行状況の文言と読み込みアイコンを表示し、保存・キャンセルの重複操作を抑えるようにしました。
• 保存が成功した内容を新しい基準にします。保存処理の開始後にさらに編集した内容は、未保存の変更として残します。
• 保存に失敗した場合や入力内容の確認が必要な場合は、内容を見直して再度保存できる構成にしました。
• 設定の再取得によって編集中の入力が上書きされないよう、未保存の変更を考慮した処理を追加しました。
• 未保存の変更がある状態で通常の画面内リンクを押した場合やサーバーを切り替えようとした場合に、先に保存・キャンセルを行うよう促します。ページの再読み込みや終了時には、ブラウザーの離脱確認を利用します。
• ダイアログ内の編集では、そのダイアログ内に保存バーを配置し、操作できる位置に表示するようにしました。
• スマートフォンでは下部ナビゲーションと画面下端の余白を考慮して配置し、保存バーの表示中は本文の下に余白を追加しました。
• AutoMod、Anti-Raid、認証、チケット、ウェルカム、自動応答、固定メッセージ、最初のコメント、レベリング、ログ設定、スター掲示板、おみくじ、川柳、プレゼント、コマンド、設定の各画面へ組み込みました。

ダッシュボード｜テーマ変更時の保存表示を修正

• サーバー設定の読み込み状態に影響され、テーマを変更しても保存バーが表示されない場合がある問題を修正しました。
• テーマ側の保存状態を、サーバー設定の取得完了とは独立して判定するようにしました。

ダッシュボード｜ボタンの押し心地を調整

• 共通ボタンを押している間は少し縮み、離すと軽く弾んで元の大きさへ戻る動きを追加しました。
• 押下時は95%に縮小し、戻る際は一度102%まで広がる、短い反発のあるアニメーションに調整しました。
• 色や影の切り替えも短いトランジションに揃え、連続して押したときにも反応が分かるようにしました。
• 無効なボタンでは押下アニメーションを行わず、端末の「視差効果を減らす」などの動きを抑える設定にも対応しました。

ダッシュボード｜サーバー詳細と保護設定を追加

ホームの「会話の流れ」の下に、選択中のサーバーの基本情報と保護設定を確認できるカードを追加しました。

設定率は4項目の設定状況を示す目安です。サーバーの安全性そのものを採点したり、被害を防げることを保証したりする数値ではありません。

• 「DETAILS」にサーバー名、サーバーID、現在のプラン、メンバー数をまとめて表示します。
• サーバー名・サーバーID・メンバー数にコピーボタンを追加しました。コピーの成功・失敗も画面上でお知らせします。
• 「SECURITY」に、保護設定の設定率を示す円形メーターを追加しました。設定率に応じてメーターの色も変わります。
• AutoMod、リンク保護、Anti-Raid、メンバー認証の4項目を均等に集計し、何項目を設定済みか確認できるようにしました。
• Anti-Raidは検知項目の有効化、メンバー認証はチャンネルとロールの指定なども含めて設定状態を判定します。
• 「Notes」を開くと各項目の設定状態を確認でき、その項目の設定画面へ移動できます。
• 「未設定」「確認中」「取得できません」を区別し、読み込み中や取得失敗を0%として扱わないようにしました。
• Botが導入されていない場合は対象サーバーの選択を案内します。設定状態は約1分ごとに再取得します。

ログイン｜再デプロイに備えたセッションの保持

APIの再起動だけでログイン情報が失われないよう、セッションの保存先をプロセス内のメモリからPostgreSQLへ変更しました。

• 同じデータベースとセッション署名の設定を引き継ぐことで、APIの再デプロイや再起動後も、有効期限内のログイン状態を利用できる構成にしました。
• 複数のAPIプロセスから同じ保存先を利用し、プロセスごとにログイン情報が分かれないようにしました。
• セッションの有効期限を読み取り時に確認し、期限切れの情報を定期的に整理する処理を追加しました。
• ログアウトしたセッションを、同時に届いた更新リクエストが再作成しないようにしました。
• ログインの有効期限切れ、ログアウト、Cookieの削除、署名設定の変更などでは、引き続き再ログインが必要です。

ホーム｜蛍光ペンでなぞる強調アニメーション

ログイン前のホームで、機能紹介や利用開始の案内にある重要な言葉を、スクロールに合わせて色付けするようにしました。

• 対象の文章が画面に入ると、ペン先が左から右へ流れ、なぞった部分にグラデーションが現れます。
• ピンク、コーラル、ライラックに加え、黄金色のハイライトを追加しました。見出しの内容に合わせて色を使い分けています。
• 「画面を見ながら設定。」や「選びましょう。」など、ダッシュボードの利用へつながる言葉に黄金色のアクセントを適用しました。
• 折り返された文章は行ごとになぞり、スマートフォンでも文章の位置に沿って動くようにしました。
• 画面サイズやフォントの読み込みに合わせて文字の位置を測り直し、ハイライトの位置を調整します。
• ペンの移動を確認できる長さを保ちつつ、1行あたり約0.36〜0.52秒のテンポへ調整しました。
• 演出は表示範囲に入ったときに一度実行します。動きを抑える設定では、移動アニメーションを省いて強調を表示します。

公開ページ｜ダッシュボードをログイン前に確認

ダッシュボードの画面構成を、ログインせずに確認できる公開プレビューを追加しました。実際のダッシュボードと共通の画面部品を使用しています。

• 「/dashboard-preview/」を追加し、ホームから公開プレビューへ進めるリンクを設けました。
• サーバー一覧、会話の流れ、接続状況、機能一覧、サーバー詳細、保護設定などをサンプルデータで表示します。
• サーバー統計の7日・30日表示を切り替えた際にも、対応するサンプルを表示できるようにしました。
• 自動更新や再取得によってサンプル表示が空にならないよう、プレビュー用のデータ取得を調整しました。
• 実際のサーバーの非公開データやログイン情報を、公開プレビューへ含めない構成にしました。設定の管理には引き続きログインが必要です。
• プレビューページのタイトルや説明、正規URLを整え、サイトマップへ追加しました。

ダッシュボードプレビューを見る

公開ページ｜現在の画面を読み取れるHTMLへ

• ログイン前のホームを、実際に表示しているReactコンポーネントから事前生成する構成へ変更しました。
• JavaScriptの実行を待たずに、ホームの本文や見出し、リンクをHTMLから読み取れるようにしました。
• ダッシュボードの公開プレビューも事前生成の対象にし、人が見る画面とクローラーが読む内容の差を小さくしました。
• 公開プレビューとログイン後の管理画面を分け、クローラー向けに実際の管理データを公開することはありません。

表示｜英数字のフォントをOutfitへ

• ホームやダッシュボードなどの英数字に、無料フォントOutfitを採用しました。
• ログイン画面、ダッシュボードのワークスペース、パッチノート、プロフィールなどのフォント指定を揃えました。
• 日本語表示中に含まれる英語のラベルや英数字にも適用し、日本語のフォント指定は維持しました。
• コードなどの等幅表示は維持し、通常の文章と区別して読みやすくしています。

Discord Bot｜/pingをライブステータスへ刷新

/pingの応答を「Okayu • ライブステータス」に変更し、通信・稼働時間・リソース・利用規模を一つの埋め込みで確認できるようにしました。

• 接続中かどうかを説明文と色で表示し、確認した時刻を埋め込みに付けるようにしました。
• 「Connection」にDiscordとのLatency、処理開始までのResponse Time、連続稼働時間のUptimeをまとめました。
• 「Resources」にRAM使用量とCPU使用率を追加しました。RAMはプロセスのRSS、CPUは起動後の平均を1コア100%換算で表示します。
• 「Size」にServersとMembers（延べ）を追加しました。メンバー数はサーバーごとの人数の合計で、重複を除いた人数ではありません。
• Latency、Uptime、Resources、RAM、CPU、Size、Servers、Membersに専用のカスタム絵文字を設定しました。
• 稼働時間は青い砂時計、サーバー数はクリップボード、メンバー数はメンバー用アイコンで区別できるようにしました。
• 英語の項目名を大文字始まりに揃え、数値に単位と桁区切りを付けて確認しやすくしました。
• 詳しい稼働状況へのリンク先を「status.okayubot.jp」にしました。数値がこのBotプロセスの統計であることもフッターに明記しています。

ステータス｜記録が少ない期間の稼働率表示を修正

• 対象期間の監視記録が少ないことを理由に稼働率が非表示になる条件を見直し、記録がある場合は、その記録に基づく稼働率を表示するようにしました。
• 24時間・7日・30日の各期間について、取得済みの監視記録のうち正常だった割合を計算します。
• 記録がない期間は不明として扱います。未観測の時間を正常稼働として補完したり、実際の障害記録を緑へ書き換えたりする変更ではありません。

サービス稼働状況を開く

Okayu Tools｜コード難読化カードの演出を強化

• ツール一覧の「コード難読化」カードに、信号が乱れるようなグリッチ演出を追加・調整しました。
• 見出しに赤とシアンの文字レイヤーを重ね、一部がずれて見える色分離の動きを加えました。
• カード上の横線、走査線、光の移動、アイコンのずれ、枠の発光が連動するようにタイミングを揃えました。
• 通常時は間欠的に動き、マウスを重ねたときやキーボードでフォーカスしたときに、より強く反応するようにしました。
• 今回の変更は一覧カードの見た目と反応の調整です。コードの変換処理や難読化強度を変更するものではありません。

Okayu Toolsを開く

パッチノート｜ルーズリーフ風の表示と参照リンク

• v3.5.4の記事に、罫線、左側の余白線、綴じ穴、紙の重なりを取り入れたルーズリーフ風の表示を追加しました。
• 見出しにマーカー風の強調を加え、長い案内を項目ごとに読み進められるようにしました。
• 記事の各項目に参照リンクを掲載できるようにし、PHP公式、Cloudflareの案内、ドキュメントなどへ移動できるようにしました。
• 参照リンクを記事の検索対象とMarkdown形式のダウンロードに含め、事前生成するHTMLにも出力するようにしました。
• 今回の追記も同じ記事へまとめ、既存のv3.5.4のURLから確認できるようにしています。

開発・保守｜コメント表記の整理

• API、ダッシュボード、Forms、ドキュメントなど33ファイル・308か所の飾り罫線を整理しました。
• 見出しや説明文、コマンドのdescriptionを残し、短いコメントで読み進められる書き方に揃えました。
• 変更前後でコメントを除いたJavaScript出力とCSSの構造が同一であることを確認しました。機能や設定値を変えるための更新ではありません。

PHPのセキュリティ情報について

2026年10月21日、PHPの重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」が公表されました。Webリクエストを処理するPHP環境で、認証されていない第三者によるコード実行などにつながる可能性があるため、PHPを利用している開発者の皆さまに、公式情報と実行環境の確認をお願いいたします。

私たちは今回の情報を受け、Okayuの開発者向けドキュメントに、PHPの更新に関する注意喚起を追加しました。このパッチノートでは、案内を追加した背景と、公開済みの変更内容をご説明します。

どのような問題なのか

PHP公式によると、一方はメモリ不足時の処理、もう一方は解放後に残る内部状態に関係する問題です。アプリケーション側の対策だけで判断せず、PHP本体の修正版適用を優先してください。

確認対象にはPHP-FPMやApacheのmod_phpなど、Webリクエストを受け付けるPHP環境が含まれます。詳しい影響条件はPHP公式のアドバイザリをご参照ください。

ドキュメントで変更したこと

開発者向けページのPHPサンプル上部に「PHP実行環境について」という案内を追加しました。サンプルを読むタイミングで、実行環境の確認事項にも目を通していただける配置にしています。

• PHPでDiscord Botを開発する際は、セキュリティ更新が適用されたPHPを利用するよう明記しました。
• 公表日と2件のCVE識別番号を記載し、PHP 8.4.27・8.5.12以降など、各系列の修正版を案内しました。
• PHP公式セキュリティ情報へのリンクと、公式サイトを開けるPHPロゴ付きバッジを追加しました。
• 掲載コードは一般的な実装の参考例であり、Okayu Bot本体の実行コードではないことを、引き続き明示しています。

開発者向けドキュメントを開く（PHPタブ）

PHPをご利用の開発者の皆さまへ

公表された修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。ご利用の系列に対応する修正版、またはその後のセキュリティ更新版へ更新してください。ディストリビューションが修正をバックポートしている場合は、その提供元の案内をご確認ください。

PHP 8.1以前をお使いの場合も、古い系列をそのまま使い続けず、サポート中の系列への移行や提供元の修正状況をご確認ください。更新後はWeb側で稼働しているPHPのバージョンと、アプリケーションの動作を確認することをおすすめします。

更新とWAFを組み合わせた保護

Cloudflareは今回の脆弱性に対するWAF保護を公開し、PHPの更新と保護機能の継続利用を推奨しています。WAFは通信を検査して攻撃を抑える追加の防御ですが、PHP本体の修正を置き換えるものではありません。

Cloudflareをご利用の場合は、対象ホストのプロキシ設定や適用されているルールを確認し、公式の案内に沿って保護を維持してください。今回のドキュメント更新は、Okayuの全ホストで特定のWAFルールの適用を検証したことや、すべての環境の安全性を保証することを意味するものではありません。

PHPに関する変更の範囲

今回お知らせするPHP関連の変更は、開発者向けドキュメントの注意喚起と、公式情報への導線の追加です。PHPサンプルの掲載そのものが、Okayuの本番サービスでPHPを実行していることを示すものではありません。

通常のBot利用者の皆さまに、この案内を理由とした再招待やサーバー設定の変更をお願いするものではありません。ご自身でPHPのBotやWebサービスを運用している方は、ご自身の実行環境をご確認ください。

参考情報・お問い合わせ

本記事は2026年10月22日時点の公開情報に基づいています。影響範囲や更新手順の最新情報は、以下の公式発表をご確認ください。私たちは今後も、開発者の皆さまが必要な情報にたどり着けるよう、ドキュメントの案内を見直してまいります。

PHP公式：2026年のセキュリティ発表

Cloudflare：php2shellに対するWAF保護と更新の案内

Okayuへのお問い合わせ