PHPに重大な穴、予告で19組織が停止。自社サイトは誰が直す

「現時点でIPAが悪用した攻撃を確認しているわけではありません」。10月21日、IPA（情報処理推進機構）はそう書きました。同じ日の15時50分、ネットショップのBASEは、自分からサービスを止めました。

被害が出たから止めたのではありません。BASEは予防のための措置だと説明し、不正アクセスや情報の流出は確認されていないとしています。その夜に届く修正を待つあいだ、店を開けておかないと決めたのです。国内では、少なくとも19の組織が、サービスやサイト、機能の一部を止めるか、止めると告知しました。

原因は、世界のウェブサイトの約7割で使われているとされる「PHP」という仕組みに見つかった、2つの穴です。修正版は日本時間21日の夜に出ました。

ただ、あなたの会社のサイトを預かる保守会社が、翌朝9時から動くとします。その場合、およそ10時間、穴の中身が公開されたままサイトは開いていることになります。しかも、Cloudflareによる攻撃の報告は、修正版より先に出ていました。

問われたのは技術ではありません。夜に届いた修正を誰が当てるか、当てられないなら誰が止めると決めるか、です。

最初に結論：夜に届く修正を、誰が当てるかを先に決める

10月21日、PHPに外から乗っ取られうる穴が2つ見つかった

PHPの開発チームは10月20日（協定世界時）、重大な脆弱性2件を直す修正版を出すと予告しました。脆弱性とは、プログラムの欠陥のうち、悪用されると攻撃の入口になるものです。深刻度は2件とも9.2で、10点満点の評価です。

修正版は日本時間21日の夜に公開されました。版の番号は8.5.12、8.4.27、8.3.36、8.2.35です。

開発チームは、ログインしていない外部の人が、サーバーで勝手にプログラムを動かせる穴だと説明しています。サーバーを乗っ取られると、サイトの書き換えや顧客情報の持ち出し、別の攻撃の踏み台に使われるおそれがあります。

IPAは21日、PHPを使っているものの棚卸しと、修正版が出たらすぐに当てる準備を呼びかけました。国家サイバー統括室は公式Xで、修正をすぐに当てるのが難しい場合、サイトを一時的に止めることもリスクを下げる有効な策の一つだと呼びかけました。

出典：PHP「Upcoming Critical PHP Security Release」（2026年10月20日）、同「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）、IPA（2026年10月21日）、piyolog（2026年10月21日）の各社告知の整理をもとに筆者作成。

KEY NUMBERS

今回のPHPの穴と、国内の動き

9.2点

2件の深刻度（10点満点）

69.3%

サーバー側の言語がわかるサイトのうちPHPを使う割合

19組織

予告を受けてサービスや機能を止めた、または止めると告知した国内の組織

8.1以前

穴はあるのに、公式の修正版が出ないバージョン

悪用が始まっているかどうかは、情報源によって分かれています。IPAやセキュリティ会社のwatchTowrは、21日時点で悪用を確認していないとしています。一方、セキュリティ会社のSansecは、Cloudflareが21日に早い段階の攻撃を報告したと書いています。

そもそもPHPとは？ サイトの裏で注文をさばく「厨房」

ウェブサイトを、飲食店に見立ててみます。お客さんが見ているのは客席です。デザインやページの文章、WordPressのプラグインは、この客席にあたります。

PHPは、その奥の厨房です。お客さんの注文を受けて、ページや画面をその場で組み立てます。会社案内、ネットショップ、予約や問い合わせのフォーム。動いて見えるサイトの多くは、裏でこの厨房が働いています。

今回の穴は、厨房の裏口の鍵にありました。だから、客席をいくら模様替えしても、つまりプラグインやWordPressを更新しても、穴はふさがりません。PHPの開発チームも、ある構成では、サイト側のプログラムが動き出す前に攻撃が届きうると説明しています。直すには、PHPそのものを新しくするしかありません。

筆者による見立て。PHPの開発チームの説明（Security advisory、2026年10月21日）をもとに作成。

厨房は、サイトの外にもあります。IPAは、PHPがソフトウェア製品やネットワーク機器の内部で使われている場合もあり、利用者側では把握できないことがあると注意しています。買ってきた業務ソフトや機器なら、確かめる先は製品の提供元です。

もう1つ、見落としやすい点があります。PHP 8.1以前も、穴の影響を受けます。開発チームが修正を出した7.4以降はもちろん、5系以降が影響を受けるとみる機関もあります。それなのに、今回の正式な修正版は出ません。開発チームのサポートが終わっているためです。W3Techsによると、PHPを使うサイトの約3分の1は、いまも7系以前で動いています。IPAも、サポートが終わった古いPHPを使い続けるサイトが見受けられるとしています。

開発チームは、自分でPHPを組み立てる人向けに、7.4〜8.1の最小限の修正も出しました。ただ、ふつうの会社がそのまま当てられる形ではありません。一部のLinuxの配布元などは独自に修正を出しています。古い版で動くサイトは、提供元の修正を確かめるか、サポート中の版へ上げるかのどちらかです。版を上げると、古いテーマやプラグインが動かなくなることがあります。上げたら、表示と問い合わせフォームを確かめます。8.2も、2026年12月31日でサポートが終わります。

前から動いていた時計が、修正版の公開で速くなる

時計は、修正版が出る前から動いていました。Sansecによると、Cloudflareは21日（協定世界時の朝）、PHPのサイトへの早い段階の攻撃を報告しています。攻撃の道具とされる画面も、予告と一緒に出回りました。

そのうえ、修正版の公開は、守る側だけの知らせではありません。PHPの開発チームは、修正版と同時に、2つの穴の仕組みも公開しました。攻める側も、同じ説明を読めます。

Sansecは、公開から15分以内に大量の攻撃が始まると予測しました。予測なので外れることもあります。

ただ、前例はあります。2024年6月に見つかったPHPの別の穴では、公開から1日もたたずに攻撃の試みが観測されました（Akamai）。IPAも、攻撃者が極めて短い時間で攻撃しうると注意しています。

ここで、あなたの会社のサイトを思い浮かべてください。修正版が出たのは夜です。保守を任せている会社の窓口が翌朝9時からなら、およそ10時間、穴の中身が公開されたまま、サイトは開いています。

出典：Sansec「Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619」（2026年10月21日）、Akamai「CVE-2024-4577 Exploits in the Wild One Day After Disclosure」（2024年）。約10時間は筆者試算。前提：修正版の公開を23時、保守会社の対応開始を翌朝9時とした場合。

15分と10時間の差を埋めるのは、技術ではなく段取りです。夜でも当てられる人がいるか。いないなら、朝まで店を開けておくのか、閉めるのか。この判断を、誰がするのかです。

19の組織は、どこまで止めるかを選んだ

予告を受けて、サービスを止めた、または止めると告知した国内の組織を、piyologが各社の告知から19まとめています。piyologはこれを、サービス全体を止めた組織、一部の機能を止めた組織、自社や団体のサイトを止めた組織の3つに分けています。お店にたとえるなら、店ごと閉める、窓口だけ閉める、看板だけ下ろす、の3つです。

BASEは、ウェブサービス、購入者向けのPAY IDアプリ、APIを止めました。当初の予定は22時からでしたが、15時50分に前倒ししています（セキュリティ対策Labの報道）。売上も問い合わせも止まる、店ごとの休業です。

エックスサーバーは、サービスのサイトと管理画面、新規の申し込みを止めました。一方で、利用者のサイトの表示とメールは動かしたままです。お客さんのサービスは止めず、窓口だけを閉めた形です。なお、エックスサーバーの告知は、理由をソフトウェアの脆弱性とだけ書き、PHPを名指ししていません。

YASUDAは、公式サイトとオンラインストアを止めましたが、出荷は通常どおり続けました。ネットの入口という看板だけを下ろし、商売そのものは続けています。

出典：piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」（2026年10月21日）。piyologの3分類（サービス全体／一部の機能／自社や団体のサイト）を、店のたとえで言い換えた。告知の中には、停止の理由をPHPと名指ししていないものもある。

報道の多くは、穴の深刻さと、パッチをどう当てるかに目を向けています。それも大事です。けれども、このニュースの本質は、PHPの穴の深さではありません。夜に届く修正を待つあいだ、どこまで止めるかを決める役が、前もって決まっているかどうかです。

止めた組織の告知には、止める範囲が書かれ、多くは再開の見込みか条件も添えていました。止めるか止めないかの二択ではなく、どこまで止めるかを選んでいます。目を引くのは、何を止めずに残したかです。YASUDAは出荷を残し、文学フリマ事務局はWebカタログとエントリーを残しました。部分的に止めて効くのは、止める部分と残す部分が、別の仕組みで動いているときです。エックスサーバーの管理画面と利用者のサーバー、YASUDAのサイトと出荷がそうです。残すものを選べるのは、どの仕組みが何で動き、止めたら何を失うかを知っている人がいるからです。

止めたのは日本の会社だけではありません。Sansecによると、オランダでは21日、技術系のニュースサイトや下院、国のサイバーセキュリティ機関のサイトが、予防のために止まりました。Sansecは、1日止められるなら止めるよう勧め、PHPの開発者の1人もそれが最も賢明だとしていると伝えています。

成長に効くか、仕組みになるか、人が育つか。この3つの物差しで見ると、これは「仕組みになるか」の問題です。サイトを作るときには、見積と契約と納品という手順があります。では、夜に修正が届いたときの手順は、あなたの会社で誰の仕事になっているでしょうか。

うちの会社は？ 誰が直すかと、売上への近さで分かれる

同じPHPの穴でも、会社によって見る場所が違います。分かれ目は2つです。1つは、PHPを直すのがサービスの提供会社か、自社や制作会社か。もう1つは、サイトが止まると売上が止まるかどうかです。

ネットショップや予約のサービスを借りている飲食や美容、小売の店は、直すのも止めるのも提供会社です。BASEのように、提供会社が店を閉める日もあります。決めておくのは、止まった日に電話や店頭でどう売るかです。

自社のネットショップや予約の仕組みを、WordPressやEC-CUBEで動かしている会社は、重い判断を背負います。止める判断に、1日の売上という値段がつくからです。夜に当てる人と、止める範囲を先に決めておく必要があります。

筆者整理。業種の置き場所は代表的な例で、会社によって異なる。

意外なのは、売上に関係しないサイトのほうです。製造や建設、士業に多い、制作会社が作った会社案内のサイトは、止まってもすぐには困りません。だからこそ、ふだん見回る人がいないことが多くなります。作ったときの保守契約に、PHPの更新が入っているかどうかも、確かめられないまま残りがちです。

共用のレンタルサーバーに置いたサイトは、PHPの更新をサーバー会社が引き受けるのがふつうです。ただし、どのバージョンのPHPで動かすかは、利用者が管理画面で選べる形が多くあります。8.1以前を選んだままなら、修正が届かないことがあります。なお、制作会社が作って共用サーバーに置いたサイトは、この2つの両方に当てはまります。直すのはサーバー会社でも、版を選ぶのと契約を見るのは自社です。

あなたの会社では：サイトごとに「直す人」と「止める人」を1行で決める

あなたの会社にも、作ったあと誰も触っていないサイトや仕組みがあるはずです。会社案内、採用サイト、問い合わせフォーム、予約や会員の仕組み。そのうちどれかで「PHPを直すのは誰か」がすぐに言えなければ、それがこのニュースと同じ形です。

ネットショップや予約で売上を立てている会社なら（通販・小売・宿・医院など）、止めたら1日いくら失うかを先に書いておきます。金額が書けると、「朝まで開けておく危険」と「1日閉める損」を比べられます。止める範囲も、店ごとか、閲覧だけにするか、看板だけかを決めておきます。

図6の記入例で比べてみます。会社案内のサイトは、止めても1日ほぼ0円です。迷わず閉めてよい側です。自社のネット通販は、1日閉めると約30万円を失います。比べる相手は、乗っ取られた場合の損です。顧客情報の持ち出しや、ページの書き換えが起きれば、謝罪と復旧の手間は1日の売上では済みません。

中間の手もあります。サーバーの側で注文などの送信を受け付けず、閲覧だけにする方法です。Sansecが挙げる手ですが、これも完全ではありません。一方、ショップの画面で注文を止めるだけでは、同じサーバーのPHPは攻撃を受けえます。閉めた通販の注文は、電話で受けます。

会社案内のサイトが中心の会社なら（製造・建設・士業など）、制作会社との保守契約を開きます。PHPの更新が入っているか。夜や休日に連絡がつくか。入っていなければ、今回のような夜には、サイトを止める判断だけでも自社でできるようにしておきます。

止めるときは、サーバーの側で止めます。WordPressなどの「メンテナンス中」の画面では、攻撃は止まりません。PHPは、その画面を出すかどうかを確かめる前に、届いた要求を読み込んでしまうからです（Sansec）。

設定の変更も、時間を稼ぐだけです。PHPの開発チームは、設定やサーバーでの制限は攻撃の道を減らすが、安全にするものではないとしています。外側で攻撃をはじくCloudflareの仕組みも、同社の技術責任者が一時しのぎと呼んでいます（Sansec）。保守会社から「設定で対応しました」と聞いたら、「修正版は当たりましたか」ともう一度聞きます。

修正を当てる前には、バックアップを取ってもらいます。あわせて、入られていた場合に後から調べられるよう、記録の設定と保管を点検してもらいます。GMO Flatt Securityも、被害を広げないための権限の見直しと、記録の点検を勧めています（＠IT）。

明日やるなら、会社のサイトと仕組みを1枚に並べ、「直す人」と「止めると決める人」を埋めてください。欄は6つです。サイト・仕組み、PHPを直すのは誰か、夜・休日の連絡先、止めたら1日いくら失うか、止める範囲、止めると決める人。

筆者作成。記入例の会社名・金額は架空。

埋めるときは、制作会社やサーバー会社に2つだけ聞きます。「うちのサイトは、PHPのどのバージョンで動いていますか」「今回の修正は、もう当たりましたか」。答えがすぐに返ってくるかどうかも、1つの答えです。

外注先に預けたものを、取引のあとまで確かめる考え方は「委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめる」で扱っています。パスワードや更新の基本は「サイバーセキュリティの基礎知識」にまとめています。保守契約に何を書くかは「契約書のチェックポイント」をご覧ください。

5問で確認する　夜に届く修正への備え

自社のサイトや仕組みが、夜に届いた修正に間に合う形になっているかを確かめる簡易チェックです。

SELF CHECK / 無料・登録不要

5問で確認｜夜に届く修正への備え

自社のサイト・ネットショップ・予約や問い合わせの仕組みを思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1会社のサイトや仕組みが、それぞれPHPで動いているかを言える

   すべて言える主なものだけわからない
2. Q2サイトごとに、PHPを直すのが誰か（提供会社・サーバー会社・制作会社・自社）が決まっている

   決まっている一部だけ決まっていない
3. Q3夜や休日に修正が届いたとき、当てる人に連絡がつく

   つく平日の日中だけわからない
4. Q4当てられないとき、サイトを止めると決める人と、止める範囲が決まっている

   決まっている人だけ決まっている決まっていない
5. Q5主なサイトで、止めたら1日いくら失うかを把握している

   把握しているおおよそ考えたことがない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

出典・調査の対象範囲

※脆弱性の内容・修正版・各社の対応は、2026年10月21日時点の公表と報道に基づきます。悪用の状況は今後変わる可能性があります。約10時間の試算、止め方の店のたとえ、業種の整理、記入例と自己診断は、考え方を示すための編集部の整理です。