ポーランドのCERT、デイフォースと連絡取れず――給与計算システムの脆弱性3件を公表

ポーランドの国家CERT(CERT Polska)は2026年9月28日、デイフォースの給与処理製品「Dayforce Payroll」について、認証なしで悪用可能な脆弱性3件の勧告を公表した↗。同機関は、事前にベンダーへの接触を試みたが成功しなかったと説明している⁵。

届かない給与

7月以降、シドニー水道局(Sydney Water)では、同じ製品ラインの不具合で従業員の給与支払いが遅れたり、数百人が家賃や子の養育費の原資にしている割増賃金(ペナルティーレート)や残業代が支給漏れとなったりしている¹。同局の職員3000人の少なくとも半数が業務拒否や順次ストへの参加を表明し、労組側は争議を公正労働委員会(Fair Work Commission)とニューサウスウェールズ州産業関係委員会↗に持ち込んだ¹。「10月が目の前に来ているのに、まだ直っていない」。オーストラリア・サービス労組(ASU)のアンガス・マクファーランド書記はこう話した¹。システムには4000万豪ドルが投じられ、すでに4件の訴訟を招いている↗⁸。

借金付きの通行料金所

トーマ・ブラボは、株主が承認した総額123億ドルの買収↗でデイフォース↗を非公開化し、株主の保有株を1株70ドルで現金化↗した²³。その裏にあるのはB+格付けの55億ドル第一優先担保付タームローン↗だ。収益の85%が経常収益(リカーリング)で、粗継続率(グロスリテンション)は90%台後半という基盤が下支えする⁴。フィッチは今期のレバレッジをEBITDA比7.6倍と予想し、12~18カ月で7.0倍未満に低下するとみている⁴。The Inferenceがこの労働争議を債務と結びつけて報じたのは9月26日だった。その後1週間で、ストはさらに2回重なった。

3つの脆弱性、応答なし

アドバイザリが対象とするのはリリース「R2026.2.0」だ。内容は(1)パスワード復旧機能経由で到達可能なタイムベース型のブラインドSQLインジェクション、(2)複数のエンドポイントにまたがるクロスサイトスクリプティング、(3)認証なしの攻撃者にローカルの任意のファイルを取得させるパストラバーサル――の3件⁵。影響が確認されているのはこのリリースだけで、他のバージョンにも同じ脆弱性が潜在する可能性があるという⁵。

その1週間前に米連邦政府の調達リストへ

デイフォースは9月21日、FedRAMPマーケットプレイスで「Initial Implementation(初期実装)」の地位を取得した↗と発表した。これにより、専用の政府クラウド上で提供される給与処理プラットフォームが、米連邦政府機関が調達できるリストに並んだ⁶⁷。フィッチの格付け理由は、この「堀」をはっきりと名指ししている。監査要件と給与計算ミスに伴う法的リスクが、AIツールによる破壊を抑え込むはずだという⁴。その給与計算ミスの法的リスクを、いま背負っているのはシドニー水道局の労働者たちである。

もう一方の主張

シドニー水道局は謝罪し、給与処理の要員を増員。救済支払いと信頼に基づく困窮前払い金の支給を進めている¹。デイフォースはセキュリティ管理への継続的な投資と、規制対象の公共部門機関を相手に築いた実績を強調する⁶。フィッチの継続率の数値は、いまもびくとも動いていない⁴。

最初に壊れるのは何か

扉は3つある。公正労働委員会がシドニー水道局の紛争をどう処理するか¹。デイフォースがCERT Polskaに回答し、R2026.2.0を修正するかどうか⁵。そして、この障害が解約(チャーン)を引き起こしても、レバレッジ低下の見通しが維持できるかどうか⁴。「堀」と給与の障害は同じ機械だ。給与システムからの乗り換えがあまりに痛い限り、ローンの返済は労働者よりも先に済まされる。