トレンド

PHPの重大な脆弱性とは?首相も呼びかけ(10/21)|一般ユーザーが知っておくことと、やること

公開日:2026-10-22更新日:2026-10-26

結論:まずここだけ読めばOK

1.PHP開発元は2026年10月21日、遠隔から攻撃を受けるおそれのある重大な脆弱性2件(深刻度9.2)を公表し、同日の夜に修正版を公開した
2.PHPは、世界のWebサイトの約7割で使われている。コドモン、BASE、ウマ娘、ニコニコなど、多くのサービスが予防のために、一時停止した
3.一般の利用者が、スマホやパソコンで、PHPを更新する必要はない。更新が必要なのは、サイトやサーバーの運営者
4.利用者は、公式の発表を待ち、便乗した偽メールに注意し、パスワードの使い回しを見直す

詳しい手順・原因は、この下で解説しています。

トレンドのイラスト

結論: 2026年10月21日、Webサイトで広く使われているプログラミング言語「PHP」に、遠隔から攻撃されるおそれのある重大な脆弱性が2件見つかり、修正版が公開されました。高市首相も、Xで対応を呼びかけています。一般の利用者が、スマホやパソコンを更新する必要はありません。やるべきことは、公式の発表を待ち、便乗した偽メールに注意し、パスワードの使い回しを見直すことです。更新が必要なのは、サイトやサーバーを運営している人です。

何が起きたのか

10月21日:PHPの開発チームが、「重大な脆弱性が2件見つかった」と予告し、日本時間の同日夜(23時ごろ)に、修正版を公開しました
修正されたバージョン:PHP 8.5.12、8.4.27、8.3.36、8.2.35
深刻度:共通脆弱性評価システム(CVSS)で、9.2(最も高い区分のひとつ)と報じられています
政府の対応:国家サイバー統括室、IPAなどが注意喚起。高市首相は21日21時55分ごろ、自身のXで、「大至急のお願い」として、修正の適用に向けた準備を呼びかけました。すぐに適用できない場合は、サイトの一時停止も、リスクを下げる有効な方法の1つだと紹介しています
海外:EUのCERT-EUや、英国のNCSCなども、対策を呼びかけています

PHPとは、脆弱性とは

PHPとは

PHPは、Webサイトの裏側で動くプログラミング言語です。ログインや、検索、商品の注文など、**「利用者の操作に応じて、情報を処理して返す」部分に、よく使われます。欧州系の調査機関によると、世界のWebサイトの約7割(69.3%)**で、使われています。WordPressなど、多くのサイト作成ソフトも、PHPで動いています。サーバーの役割は、サーバーとはで解説しています。

脆弱性とは

プログラムの、弱点や、設計・作りの不備のことです。弱点を突かれると、不正な操作や、情報の盗み出しにつながるおそれがあります。基本は、脆弱性とはで解説しています。

何が危険なのか

今回の2件は、いずれも、遠隔から、サーバー上で、攻撃者のプログラムを実行できてしまう可能性がある、重大な脆弱性です(「リモートコード実行」と呼ばれます)。

1件目:メモリが足りなくなった時の処理の不具合により、不完全なデータを、正常なものとして扱ってしまうおそれ(CVE-2026-109618)
2件目:使い終えたメモリを解放した後も、その内部の状態が残り、同じ処理を担当する、別のリクエストが、それを使ってしまうおそれ(CVE-2026-109619)

特に、Apacheのモジュール版(mod_php)で動いている場合は、ログインなどの認証を行わない、外部からのリクエストで、攻撃を引き起こせることが、確認されたとされています。攻撃が成功すると、サーバーが乗っ取られ、保存されている情報の盗み出しや、サイトの改ざんにつながるおそれがあります。

なぜ、多くのサービスが止まったのか

修正版が公開される前から、多くのサービスが、予防のために、自らサービスを一時停止しました。主なものは、次のとおりです(公表時点)。

分野	一時停止・緊急メンテナンスの例
ネットショップ・運営サービス	BASE、コドモン(保育園向けのサービス)
ゲーム・エンタメ	ウマ娘、グランブルーファンタジー(Cygames)、ニコニコ、pixiv、DMM
金融・交通	静岡銀行(ネット取引を一時停止)、阪急電鉄
レンタルサーバー	さくらインターネット、XServer、GMOペパボ

※pixivなど、一部は再開しています。最新の状況は、各社の発表を確認してください。

理由は、次のとおりです。

修正版が公開されると、弱点の内容が、攻撃者にも手がかりとして伝わり、公開後に攻撃が増えるおそれがあるため
修正を適用して、動作を確認するまで、止めておくほうが安全と判断したため

IPAの事前の注意喚起によると、発表の時点で、この脆弱性を悪用した攻撃は確認されていません。被害を受けたから止めたのではなく、予防的な措置です。なお、銀行の決済そのものには、影響はないとも報じられています。

一般の利用者がやること

1. 慌てずに、公式の発表を待つ

メンテナンス中のサービスは、公式サイトや公式SNSの、お知らせで、再開を確認します。復旧を急かす必要はありません。

2. 便乗した偽メール・SMSに注意する

混乱に乗じて、「脆弱性対応のため」「緊急メンテナンスのため」と偽り、ログインやパスワード変更を促すメール・SMSが、出回るおそれがあります。

メールやSMSの、リンクは開かない
確認が必要な時は、公式アプリや、ブックマークしておいた公式サイトから入る
偽の復旧案内にも、注意する

詳しい手口は、フィッシング詐欺とはで、リンクの見分け方は、URLとはで、解説しています。

3. パスワードの使い回しを見直す

今回の件で、利用者の情報が、流出したと確認されたわけではありません。ただ、今後、情報漏えいの発表が出る可能性もあります。備えとして、次を確認しておくと安心です。

同じパスワードを、複数のサービスで使い回していないか(優先は、メール、金融・通販、SNSの順)
パスキーや、二段階認証を、設定しているか。二段階認証とパスキーの違いをご覧ください
カードの利用明細や、注文履歴に、身に覚えのない請求がないか

パスワード管理の考え方は、パスワード管理の考え方にまとめています。

4. 使っていないサービスは、退会する

昔登録して、更新されないまま放置されている小さなサイトには、古いバージョンのPHPが、使われたままの場合があります。利用者側から、サイトを直すことはできませんが、使っていないサービスを、退会しておけば、情報が残るリスクを減らせます。

やらなくてよいこと

自分のスマホやパソコンの、PHPを更新する:そもそも、入っていません
パニックになって、すべてのパスワードを、一斉に変える:公式の案内がない限り、現時点で必要とされていません
非公式の、SNSの情報を拡散する:誤情報や、詐欺の拡散になることがあります

サイトやサーバーを運営している人がやること

PHPを使ったサイトを運営している人は、すぐに対応が必要です。

PHPのバージョンを確認する:サーバーで php -v を実行する。レンタルサーバーなら、管理画面で確認する。WordPressなら、「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンを確認できます
修正版へ更新する:8.5.12、8.4.27、8.3.36、8.2.35のいずれか。Linuxのサーバーでは、使っているOSやディストリビューションが配布する、更新パッケージを確認します
レンタルサーバーは、事業者の案内に従う:事業者側で、対応を進めている場合があります
WordPress本体やプラグインの更新だけでは、解消しません:サーバーのPHP自体の更新が、必要です
すぐに更新できない場合は、サイトの一時停止も検討する:開発元は、暫定的な設定の変更(メモリ使用量の上限の見直し、一部機能の無効化など)も示していますが、いずれも、特定の攻撃経路を減らす措置にすぎず、**「完全な緩和策はなく、アップデートが唯一の安全な選択肢」**としています
PHP 8.1以前は、更新の対象外:事業者に修正の有無を確認するか、サポート中のバージョンへ移行する
不審な兆候を確認する:身に覚えのないファイルの追加や、改ざんがないか。ウェブシェルと呼ばれる、不正な遠隔操作用のファイルについては、ウェブシェルとはで解説しています。心配な場合は、専門の事業者に相談してください

PHPを使っていないサイトは?

Next.jsやVercelなど、PHPを使わない構成のサイトは、今回の脆弱性の直接の対象ではありません。ただし、同じサーバーで別のPHPのサイトを動かしている場合などは、確認が必要です。

相次ぐ不正アクセスとの関係

今回の件は、特定の企業への攻撃ではなく、広く使われているソフトの弱点の話です。10月中旬から相次いでいる、不正アクセスやサービス停止の、個別の事案については、相次ぐ不正アクセスとサービス停止(10月17〜20日)にまとめています。

続報(10月22日午前)

2026年10月22日の午前までに、次のような動きが伝えられています。

更新を終えて、サービスを再開する事業者が出ている:修正済みのバージョンへの更新を完了し、一時的に遮断していたサービスを再開した、と案内する企業があります。その企業は、「この脆弱性を悪用した攻撃や、情報漏えいは、現時点で確認されていない」と説明しています
悪用の観測に関する情報:セキュリティ企業のHuntressは、日本時間の22日午前5時30分の時点で、自社が監視している環境では、今回の脆弱性の悪用を観測していないと説明しています。一方で、他者による攻撃の報告にも触れており、警戒は続いています
一部のサーバーで、表示障害:レンタルサーバーの一部では、22日の朝にも、サイトに502エラーが出るなどの、表示障害が確認されました。事業者が、復旧作業や、更新を進めている段階です

これらは、時間とともに変わる情報です。サービスごとの、最新の状況は、各社の公式のお知らせで確認してください。

参考

※2026年10月22日午前時点の情報です。状況は刻々と変わる可能性があります。最新の情報は、PHPの公式サイト、IPA、国家サイバー統括室、各サービスの公式発表でご確認ください。

よくある質問

Q.自分のスマホやパソコンを、アップデートする必要がありますか?

A.いいえ。PHPは、Webサイトの裏側(サーバー側)で動くプログラミング言語です。サイトを見る側の、スマホやパソコンに、PHPを入れる必要はありません。更新が必要なのは、PHPを使ってサイトを運営している人や、サーバーの管理者です。

Q.個人情報は、流出しましたか?

A.2026年10月22日の時点で、この脆弱性を悪用した攻撃で、利用者の情報が一斉に流出したと確認されたわけではありません。各社の発表でも、被害や流出は確認されていないと説明するところが多く、サービスの停止は、予防的な措置とされています。ただし、状況は変わる可能性があるため、利用しているサービスの公式発表を確認してください。

Q.パスワードを、変更したほうがよいですか?

A.流出が確認されたサービスでは、案内に従ってください。それ以外では、今回の件だけを理由に、すべてのパスワードを変える必要は、現時点で示されていません。ただし、同じパスワードを複数のサービスで使い回している場合は、この機会に見直すと安心です。優先は、メール、金融・通販、SNSの順です。

Q.WordPressで、サイトを運営しています。WordPressを更新すれば足りますか?

A.いいえ。WordPressは、PHPで動くため、影響を受ける可能性があります。WordPress本体やプラグインの更新だけでは解消せず、サーバーで使っているPHP自体を、修正版へ更新する必要があります。レンタルサーバーの場合は、事業者の案内を確認し、PHPのバージョンを確認してください。

Q.PHP 8.1以前を使っています。どうすればよいですか?

A.PHP 8.1以前は、今回の更新の公式な対象外です。開発元は、7.4・8.0・8.1向けにも、最小限の修正を施したソースコードを公開しましたが、サーバー事業者に修正の有無を確認するか、サポート中のバージョンへ移行するよう呼びかけています。

Q.利用しているサイトが、開けない・502エラーが出ます。

A.サービスやレンタルサーバーの事業者が、PHPを修正版へ更新する作業を進めている間は、一時的に、表示できなくなったり、エラーが出たりすることがあります。時間をおいてから、再度確認し、事業者の公式のお知らせをご覧ください。自分の端末の故障ではありません。エラーの意味は、[HTTPステータスコードの解説](/posts/http-status-code-toha)にまとめています。