PHP脆弱性でサービス停止が相次いだ10月21〜22日、日本で何が起きたか

Wordpress

2026.10.23

2026年10月21日から22日にかけて、日本では国税庁や気象庁、文部科学省、大阪市、銀行、保育・教育施設向けのサービス、レンタルサーバー会社までが、Webサイトやサービスを相次いで一時停止しました。きっかけは、Webサイトを動かすプログラミング言語「PHP」に見つかった重大な脆弱性2件（通称PHP2shell）です。修正版は21日の23時前（日本時間）に公開されました。コドモンやさくらインターネットのように公開を待たずに予防で止めた組織もあれば、国税庁のように公開後の22日朝に止めた組織もあります。

先に結論を書くと、Webサイトやアプリを使っているだけの方が、自分のスマートフォンやパソコンで何かをする必要はありません。対応するのは、サイトやサービスを運営する会社や団体です。また、すべてのWebサイトがPHPを使っているわけではなく、PHPを使っていないサイトは今回の脆弱性と関係がありません。

この記事では、止まった主なサービスと時系列、修正版を待たずに止めた組織があった理由、被害の状況を、公的機関と各組織の発表をもとにまとめます。後半では、Webサイトの制作と保守を手がける私たちの立場から、WordPressなどで自社サイトを運営している方が確認することを整理しました。情報は2026年10月23日朝の時点です。わかりにくい専門用語や略語は、記事の最後の用語集で説明しています。

10月21日に何が起きたのか

10月21日に何が起きたのか

PHPの開発チームが、ログインなしの外部からの通信でサーバー上の任意のプログラムを実行されるおそれがある脆弱性2件を公表し、修正版を公開しました。深刻度はどちらもCVSS v4.0で9.2で、最も深刻な「緊急（Critical）」に分類されています。

項目	内容
識別番号	CVE-2026-109618、CVE-2026-109619
通称	PHP2shell（2件の組み合わせ）
深刻度	CVSS v4.0で9.2（緊急）
起きうること	ログインなしの外部の通信で、任意のプログラムを実行される
対象	Webのリクエストを処理するすべてのPHP
修正版	8.5.12、8.4.27、8.3.36、8.2.35

PHP公式の告知では、対象をPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedと幅広く挙げ、なかでもmod_phpの危険性が最も高いとしています。8.1以前の版はPHPプロジェクトとしての修正版が出ないため、IPAとJPCERT/CCは、サポートが続く版への更新を求めています。PHPの開発チームは、自分でソースからビルドする人向けに、7.4・8.0・8.1向けの最小限の修正も用意しました。

PHPは、WordPressをはじめ、企業のホームページ、問い合わせフォーム、会員サイトなど多くのWebサイトで使われています。サイトを持っていなくても、利用しているWebサービスの裏側でPHPが動いていることは珍しくありません。今回これほど多くの組織が動いた背景には、この使われ方の広さがあります。

サービスを使っているだけの人がやることはある？

サービス利用者の対応

ありません。今回の対応は、Webサイトやサービスを運営する側の仕事で、利用者一人ひとりがスマートフォンやパソコンで設定を変えたり、アプリを更新したりして防ぐものではありません。

PHPは、利用者の端末ではなく、Webサイトを提供する側のサーバーで動くプログラムです。BBCも、PHPはサーバー上で使われ、利用者がサイトにアクセスしたときに表示される画面を組み立てるものだと説明しています。修正版を当てられるのは、そのサーバーを管理している運営者だけです。

利用者として知っておきたいのは、次の3点です。

使っているサービスが止まっていたら、公式サイトや公式SNSの告知を見て再開を待つ。 今回の停止の多くは、被害を防ぐための予防の措置でした。
止まっていることは、不正アクセスがあったという意味ではない。 たとえばエックスサーバーは、管理画面などを止めた際に「本対応は不正アクセスの発生によるものではございません。」と案内しています。
万一、情報漏えいなどの被害が発表されたときは、そのサービスの案内に従う。 パスワードの変更などが必要かどうかも、そのサービスの公式の案内で確かめてください。

PHPを使っていないサイトもたくさんある

ニュースでは「世界のWebサイトの7割」といった数字も報じられましたが、すべてのWebサイトがPHPで動いているわけではありません。BBCは、すべてのサイトがPHPを使っているわけではないものの、インターネットの大部分を支えていると伝えています。

PHP公式が影響を受けるとしているのは、PHPでWebのリクエストを処理している環境です。ほかのプログラミング言語で作られたサービスや、PHPを使わずに作られたサイトは、今回の脆弱性の対象になりません。実際、さくらインターネットは、さくらのVPSについて、サービスの提供部分でPHPを使っていないため影響はないと発表しています。

ただし、あるサイトがPHPを使っているかどうかを、利用者が外から見分けるのは難しいのが実情です。BBCの取材に答えた専門家は、PHPを使っている組織自身が、使っていることに気づいていない場合もあると指摘しています。利用者が自分で判断しようとせず、使っているサービスの告知を確かめるのが確実です。

10月20日から22日までの時系列

時系列を説明するカレンダーの画像

PHP開発チームの予告から、修正版の公開、各組織の停止と再開までの主な動きです。時刻は日本時間です（1行目のみ米国時間の日付）。PHP開発チーム、公的機関、各組織の発表と報道で確認できたものに限っています。

日時	出来事
20日（米国時間）	PHP開発チームが、21日14時（UTC）に修正版を出すと予告
21日	IPAが「事前準備のお願い」を公表
21日 14:16	コドモンが全サービスの順次停止をXで告知
21日	国家サイバー統括室が注意を呼びかけ
21日夜	高市早苗首相がXで、今夜中の対応準備を呼びかけ
21日 22:00頃	バンダイナムコエクスペリエンスが緊急メンテナンス
21日 22:30	さくらインターネットが予防的な緊急メンテナンス
21日 23時前	PHPの修正版が公開される
22日 3:22	コドモンが主要サービスを再開
22日朝	国税庁がホームページの一部やサービスを停止
22日 8:15	さくらインターネットが順次再開
22日	IPAとJPCERT/CCが修正版の適用を求める注意喚起
22日 12:00	東京外国語大学がLMSなどを再開
22日 14:03	エックスサーバーがPHP 5.6〜7.3へ修正の適用完了を告知
22日 17:25	大阪市が利用停止中のサービスを発表
22日 21:40	電話リレーサービスは停止を継続

首相の投稿の内容を、BBCは次のように伝えています。

「多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。…可及的速やかに適用できるよう準備をお願いします」と呼びかけた。
BBCニュース「プログラミング言語「PHP」に重大な脆弱性、世界中で多くのウェブサイト休止」

ITmedia NEWSは、首相がSNSで呼びかけたことでテレビでも盛んに報じられ、これまでになく社会を騒がせたと伝えています。修正版は予告された時刻どおり21日の夜に出ましたが、22日になっても、確認を終えていない組織はサービスを止めたままでした。

日本で止まった主なサービス

止まったのは、IT企業のサービスだけではありません。官公庁、自治体、銀行、通信のバリアフリーを支える公共インフラ、保育や大学のシステムまで、分野を問わず停止が広がりました。

分野	主な例（発表・報道で確認できたもの）
官公庁	国税庁（e-Taxのトップページも一時閲覧不可）、気象庁、文部科学省
自治体	大阪市（複数のサービスを利用停止）
金融	銀行など金融機関の一部ネットサービス（日経の報道）
公共インフラ	電話リレーサービス（緊急通報は利用可能）
保育・教育	コドモン、東京外国語大学のWebサイトの一部
エンタメ	pixiv、Cygames、バンダイナムコエクスペリエンス
サーバー事業者	さくらインターネット、エックスサーバーの管理画面など

再開の早さは組織によって分かれました。コドモンは22日の未明、さくらインターネットは22日の朝から順に再開し、東京外国語大学も22日昼に学内システムを戻しました。一方、大阪市と電話リレーサービスは、安全性を確認できたら再開するという告知で、22日夜の時点でも再開の時刻を示していませんでした。修正版を当てるだけでなく、自分たちのシステムで動作を確かめる時間が必要なためと考えられます。

エックスサーバーやさくらインターネットのように、利用者のサイトが載っているサーバーを管理する事業者は、管理画面などを止めたうえで、提供しているPHPに順番に修正を当てました。エックスサーバーは、止めたのはアカウント管理画面などで、利用者のサイトの表示やメールの送受信は続けていると案内しています。

修正版が出る前から止めた組織があった理由

事前に停止させているイメージ

コドモンやさくらインターネットなどが修正版を待たずに止めたのは、攻撃の材料が先に出回り、修正が間に合わないまま狙われるおそれがあったからです。発表や報道から、背景は大きく4つに整理できます。

情報が先に漏れた。 PHP財団によると、脆弱性の存在は告知より先にSNSなどで広まりました。21日午前5時ごろには、発見に関わった企業が攻撃の実演動画を誤って公開し、削除後もコピーが出回りました。
予定が前倒しになった。 ITmedia NEWSによると、修正版は当初22日23時の予定でしたが、漏えいを受けて21日23時に、1日早まりました。各組織は、想定より短い時間で準備を迫られました。
アプリの側では防げない。 PHP公式は、mod_phpではアプリのプログラムが動く前に、ログインなしの通信で攻撃が成立する例を示しています。サイト側のプログラムで入口を固めても、守りにならない場面があります。
公的機関が停止も選択肢に入れるよう案内した。 IPAは、有効な暫定対策が難しい場合の判断として、次のように書いています。

有効な暫定対策を講じることが難しい場合は、攻撃を受けた際の被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断してください。
IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」

いち早く全サービスを止めたコドモンは、ITmedia NEWSの取材に、万が一情報が流出すれば被害を完全には取り消せないため、未然に防ぐことを優先したと説明しています。コドモンは全国の保育園や幼稚園が使い、子どもや保護者の情報を預かるサービスです。止めれば現場は困ります。それでも、漏れた情報は戻せない。予防で止めた組織の多くも、同じ比較で停止を選んだと考えられます。

被害は出ているのか

報道を探しているイメージ

この記事で確認した範囲では、被害を発表した国内の組織はありません。さくらインターネット、大阪市、バンダイナムコエクスペリエンス、コドモンは、それぞれの発表の時点（21〜22日）で、不正アクセスや情報漏えいは確認していないとしています。

一方で、攻撃の動きが無いわけではありません。BBCによると、Cloudflareの最高技術責任者は、すでに初期段階の攻撃を確認していると述べています。なお、SNSで拡散した概念実証（PoC）について、PHP財団は「機能的な脆弱性は確認されなかった」としています。ただし、同じ記事は、誤って公開された動画が複数の対象で実際に動作するPoCを示していたとも伝えており、攻撃が不可能だという意味ではありません。

ほかの組織が被害を発表していないことは、自社のサーバーが無事だという意味ではありません。JPCERT/CCは、痕跡が見つからなくても攻撃を受けていないとは断定できないとして、修正版の適用とあわせて、侵害の有無を調べるよう求めています。

自社サイトの運営者が確認すること

チェックシートを確認するイメージ

ここからは、自社のWebサイトを持っている方向けの内容です。サービスを使っているだけの方は、読み飛ばしてかまいません。

WordPressなどで自社サイトを運営している場合、まず確認するのは「自分のサイトのPHPを、誰が更新する契約になっているか」です。今回の脆弱性はPHPそのものにあり、WordPress本体やプラグインの更新では直りません。

立場ごとの確認チェックリスト

レンタルサーバーを使っている場合

[ ] 契約しているサーバー会社の告知で、PHPの修正が適用済みかを確かめた
[ ] サーバー会社から、利用者側の作業の案内が出ていないか確かめた
[ ] サーバーの管理画面で、自分のサイトが使っているPHPの版を確かめた
[ ] 8.1以前の版なら、サーバー会社がその版の修正を出しているか確かめた
[ ] 修正のあと、問い合わせフォームやアップロード機能が正しく動くか試した

VPSや自社サーバーで動かしている場合

[ ] PHPを8.5.12、8.4.27、8.3.36、8.2.35のいずれかに更新した
[ ] OSのパッケージで入れている場合、ディストリビューションの更新を確かめた
[ ] OSやパッケージの案内に従い、更新が実際に動いているPHPに反映されたか確かめた
[ ] JPCERT/CCが勧める侵害の痕跡をログで確かめた

制作会社や保守会社に任せている場合

[ ] 担当の会社に、PHPの更新が済んだか、誰が対応するかを確かめた
[ ] サーバーの契約者が自社か制作会社かを確かめた

JPCERT/CCは、発見者らが公開した情報として、次のような点の確認を勧めています。

異常に長い、または不自然な形式のPHPSESSIDのCookieが発行されていないか
不審なmultipart/form-dataのリクエストと、その前後にメモリ上限のエラーやHTTP 500エラーが出ていないか
PHPのプロセスが予期せず異常終了したり、頻繁に再起動したりしていないか

あわせて、不審なプロセスの実行や外部への通信、不審なファイルの作成がないかも確認するよう求めています。

WordPressのメンテナンスモードでは防げない

WordPressのプラグインで「メンテナンス中」の画面に切り替えても、今回の攻撃を防ぐ手段にはなりません。PHP公式の説明から考えると、メンテナンス画面もPHPで表示されるため、PHPがリクエストを受け取る時点で攻撃が成立しうるからです。PHP公式は、mod_phpではアプリのプログラムが動く前に攻撃が成立する例を示しています。緩和策の設定についても、アプリの中のini_set()ではなく、リクエストの解析より前に効く場所（php.iniやサーバーの設定）で行うよう指示しています。

すぐに更新できない状況でサイトを止めるなら、PHPに届く前の段階、つまりWebサーバーの設定によるアクセス制限や、サーバー会社の対応で止める必要があります。どこで止めればよいか判断がつかない場合は、サーバー会社か制作会社に相談してください。

PHP公式は更新までのつなぎとして、session.upload_progress.enabledを0にする、post_max_sizeを小さくするといった緩和策も挙げています。ただし、これらは特定の攻撃経路を減らすだけで、安全にはならないと明記されています。根本の対策は、修正版への更新だけです。

今回の件で見えた、サイト運営の備え

事前に備えているイメージ

制作と保守の現場から見ると、こうした騒ぎのときにすぐ動けるかどうかは、「どこでPHPが動いていて、誰が更新できるか」を把握しているかに大きく左右されます。IPAも、長く更新していないシステムほど、改修や動作確認、資料の不足、担当者の不在、保守契約の終了といった理由で対策が難しくなると指摘しています。

次の騒ぎに備えて、少なくとも次の3つは平時に決めておくと、判断が速くなります。

自社のサイトやフォームが、どのサーバーの、どの版のPHPで動いているかを書き出しておく
PHPやWordPressの更新を誰が担当し、緊急時に誰が止める判断をするかを決めておく
サポートが終わる版を使い続けない。PHP 8.2は2026年12月31日でサポートが終わり、その後は修正が出ない

PHPの版を上げると、古いテーマやプラグインが動かなくなることもある。だからこそ、更新は時間に余裕のある平時に、動作確認とあわせて進めてください。保守の費用感はホームページ制作後の保守費用の目安にまとめています。古い版のまま作り直しも視野に入る場合は、ホームページをリニューアルする時期の判断基準も参考にしてください。

まとめ：まず「誰が更新するか」を確かめる

しっかり話し合って今後の対策を決めるイメージ

10月21〜22日、日本では官公庁から銀行、保育のサービスまでが、PHPの脆弱性への予防策としてサービスを止めました。この記事で確認した範囲では被害の発表はありませんが、攻撃を試みる動きは確認されており、修正版への更新だけが根本の対策です。

自社サイトを持っているなら、今日のうちに、サーバー会社か制作会社に「PHPの修正は済んでいるか」を確かめてください。レジットでは、WordPressの本体やプラグインの更新、バックアップを含むWordPress運用保守を承っています。料金は月額1万円〜です（レジットでの概算の目安）。エックスサーバー、さくらインターネット、ロリポップなど主なレンタルサーバーに対応しています。PHPのバージョン更新やサーバーの設定まで含められるかは、契約内容や環境によって異なるため、まずはご相談ください。更新の担当が決まっていない、どこから手をつければよいかわからないという場合は、お問い合わせからご相談ください。