ウェブサイトの裏側で広く使われているプログラミング言語「PHP」に、深刻度の高い脆弱性が2件見つかりました。修正版は、2026年10月21日23時(日本時間)に公開される予定です。IPA(情報処理推進機構)は事前の準備を呼びかけ、ネットショップのBASEやゲームのShadowverse: Worlds Beyondなどが、前もってサービスを止めています。何が起きているのかと、利用者やサイトを持つ人がやることをまとめます。
何が起きた? PHPに「緊急」の脆弱性が2件
PHPを開発するThe PHP Groupは10月20日、セキュリティの修正版を10月21日14時(協定世界時、日本時間23時)に公開すると予告しました。直すのは2つの脆弱性で、どちらも深刻度を表す点数(CVSS v4.0)が9.2の「Critical」です。
- くわしい中身、影響する版、直した版: 修正版の公開と同時に明らかにする
- 公開の時刻: 脆弱性のくわしい情報が出回ったり、実際の悪用が見つかったりしたら、早めることがある
- 利用者へのお願い: すべてのPHPの利用者が、すぐに更新できるよう今から準備する
IPAは10月21日、ウェブサイトの運営者やPHPでアプリを作る人に向けて「事前準備のお願い」を出しました。今のところIPAが悪用の攻撃を確認したわけではないとしたうえで、修正版が出たらすぐに当てられるよう準備し、PHPを使っているものを洗い出すよう求めています。
IPAの10月21日の「事前準備のお願い」出典: 独立行政法人情報処理推進機構(IPA)(引用)
IPAは、PHPがウェブのアプリだけでなく、ソフトウェアの製品やネットワークの機器の中で使われていることもあるとしています。サポートが終わった古いPHPを使い続けているサイトもあり、攻撃する側がごく短い時間で攻撃を始めるおそれもあると指摘しています。欧州連合の機関のCERT-EUは、PHP 5以降が影響を受けるとしています。
なぜサービスが止まる? 修正版に合わせて、前もって止める
修正版の公開を前に、いくつかのサービスが止まったり、メンテナンスを予告したりしています。
- Shadowverse: Worlds Beyond: 10月21日23時からメンテナンス。終わる時刻は未定。運営は、ゲームのサーバーで使っているPHPの脆弱性の発表を受けた対応だとしています。被害やデータの流出は確認されていないとしています
- BASE: 10月21日15時50分から22日7時(予定)まで、BASEのすべてのサービスとPAY IDアプリを止めています。ショップの表示や操作、管理画面が使えません。利用しているソフトウェアに重大な脆弱性が確認されたためで、不正アクセスや情報漏えいは確認されていないとしています
- エックスサーバー: 10月21日16時から、公式サイトや管理画面などへのアクセスを止めています。利用者のサーバーへの影響はなく、ウェブサイトの表示やメールの送受信はいつもどおり使えるとしています
BASEのメンテナンスのお知らせ(10月21日15時50分時点)出典: BASE株式会社(引用)
PHPの名前を挙げているのは、Shadowverse: Worlds Beyondです。BASEとエックスサーバーは「利用しているソフトウェアの脆弱性」と書いていて、ソフトウェアの名前は書いていません。保育のアプリのコドモンも、同じように「利用しているソフトウェアに重大な脆弱性」として21日から全サービスを止めています。くわしくは保育アプリのコドモンが停止 22日朝に再開見込み、欠席連絡は園へ電話にまとめています。
同じIPAの呼びかけは、TECHNOVAのPHPの脆弱性2件で更新へ、IPAがサイト運営者らに事前準備を呼びかけでも取り上げています。会社の情報システムの担当者向けには、情シスのミカタのPHPの重大な脆弱性「php2shell」 10月21日23時に修正版があります。
暮らしと仕事への影響
PHPは、ネットショップやゲーム、会社や店のサイトなど、多くのサービスの裏側で使われています。ふだんの利用者が直接さわることはほとんどありませんが、修正版を当てるあいだ、使っているサービスが一時的に止まることがあります。
ネットショップを開いている人には、売り上げにかかわります。BASEは22日7時まで止まる予定で、そのあいだはショップの表示も注文の受け付けもできません。BASEは、メンテナンスが延びるときはヘルプのページとXのアカウントで知らせるとしています。
自分のサイトをレンタルサーバーで動かしている人や、小さな会社でサイトを作ってもらった人は、使っているサーバーの会社や、サイトを作った業者の案内を確かめる必要があります。
今日からできること
- 使っているサービスの公式のお知らせを確かめる: メンテナンスの時間や延長は、各社の公式サイトやXで確かめます。
- メンテナンスを口実にした連絡のリンクは開かない: 「再開しました」「確認してください」というメールやSMSが届いても、ブックマークや公式のアプリから自分で開いて確かめます。
- 自分のサイトがあるなら、サーバーの会社の案内を見る: レンタルサーバーの会社がPHPの更新や版の切り替えを案内したら、それに従います。サポートの終わった古いPHPのままなら、見直す機会にします。
- 会社の機器も気にかける: IPAは、製品や機器の中のPHPは利用者には分かりにくいため、まず製品の説明書や開発元のセキュリティ情報を確かめるよう求めています。
関西の暮らしと仕事での使いどころ
関西の会社や店への影響は、発表に書かれていません。ここでは、関西で暮らし、働く人の使い方の例として整理します。
たとえば、大阪や京都で雑貨や器の店を営み、BASEでネットショップを開いている人なら、22日の朝まで注文を受けられないことを、店のSNSで知らせておくと、お客さんが迷いません。
神戸や奈良の小さな宿や医院で、予約や案内のページを業者に作ってもらっている場合は、明日の朝に、ページが開くか、予約の受け付けが動いているかを一度見ておくと安心です。おかしいと思ったら、サイトを作った業者に連絡します。
使っとるサービスが止まっとっても、あわてんと公式の案内を見よな。
