2210月2026

【PHP脆弱性パニック】「php2shell」とは　大手Webサービスが緊急メンテ、高市総理もコメントする事態に「何が起きてる？」「個人は何をするべきなの？」にわかりやすく解説

2026年10月22日

【PHP脆弱性パニック】「php2shell」とは　大手Webサービスが緊急メンテ、高市総理もコメントする事態に「何が起きてる？」「個人は何をするべきなの？」にわかりやすく解説

時間がない人向けの30秒で理解ゾーン

Webサイトを動かすプログラム言語「PHP」に重大な脆弱性が2件見つかり、PHPの開発チームは10月21日夜（日本時間）、修正版を公開した。公開前に脆弱性の情報が外部へ漏れたこともあり、BASEやpixiv、人気ゲームなどが相次いで緊急メンテナンスに入る。高市早苗首相もXで「大至急のお願い」と呼びかけ、ネット上には不安が広がった。

何が起きてる？「php2shell」はPHPの“緊急”脆弱性2件

本記事では、自分でサイトを持たない一般の利用者の目線で、「何が起きているのか」と「個人は何をするべきか」を修正版公開後の状況から整理する。

ひとことで言うと、次のとおりだ。

・問題があったのは、Webサービスを動かしている”お店の裏側のコンピューター”の部品

・スマホやWi-Fiの電源を切っても、お店の裏側は止まらないので関係ない

・直すのは、サービスを運営する会社の仕事

・利用者は、止まっているサービスの再開を待てばいい

Webサービスを1軒の「お店」にたとえると分かりやすい。

私たちがスマホで見ているサイトやアプリの画面は、お店の売り場だ。その奥には、注文を受けたり商品を管理したりする厨房や倉庫がある。これがサーバーと呼ばれるコンピューターになる。PHPは、その厨房で多くのお店が使っている共通の道具にあたる。

事実の言い方に直すと、PHPはサーバーで動くプログラムを書くための言語だ。ブログでおなじみのWordPressもPHPで作られている。Web技術の調査会社W3Techsの集計では、サーバー側の言語が分かっているサイトのおよそ7割がPHPを使う。利用者が直接触れることはほとんどないが、ネット上の多くのサービスの土台になっている。

脆弱性とは、プログラムにあるセキュリティの弱点のことだ。今回は、その共通の道具に”外からこじ開けられる隙間”が2つ見つかった。悪い人がこの隙間を使うと、ログインしなくても、外からお店の厨房に入り込んで勝手に道具を動かせる恐れがある。専門用語では「リモートコード実行」と呼ばれる。

PHPが公開した修正版は、8.5.12、8.4.27、8.3.36、8.2.35の4つ。隙間をふさぐ新しい部品にあたる。2件の弱点には「CVE-2026-109618」「CVE-2026-109619」という番号が付いた。CVEは世界共通の脆弱性の登録番号だ。危険度を表す点数（CVSS）は、どちらも10点満点中9.2。最も重い「緊急」の区分に入る。

「php2shell」は、この隙間を突く攻撃を実演した研究者の動画や、攻撃ツールの画面に付いていた名前が広まったものだ。PHPの公式な呼び名ではない。

見つけたのはAIを使った調査だった

この弱点は、AIを使った調査で見つかった。

OpenAIは「Patch the Planet」という取り組みで、セキュリティ研究チームのCalifとPHPのセキュリティチームによるプログラムの点検を支援してきた。OpenAIの説明によると、CalifはOpenAIのAI「GPT-5.6 Sol」を使って、2件のうち1件を見つけた。

Google傘下のセキュリティ企業Wizも、AIの助けを借りて2件とも突き止めたと説明している。OpenAIとWizは、PHPが作った修正がきちんと効くかの確認にも協力した。PHPの公式な脆弱性情報でも、報告者としてWizやOpenAIの関係者が名を連ねる。

見つかったのは、修正版が出るおよそ2か月前だったという。OpenAIは、弱点はもともとプログラムの中にあり、AIがそれを見つける手助けをしたと説明した。一方で、AIは攻撃する側が弱点を悪用する手助けにもなりうる、とも認めている。

情報が先に漏れて、騒ぎが大きくなった

ふつう、重大な弱点は直す部品ができるまで秘密にしておく。直し方と一緒に公表しないと、悪い人に先に知られてしまうからだ。

今回はその順番が崩れた。海外の技術系掲示板に、近く公表予定の弱点についての投稿が現れる。投稿は削除されたが、画面の写しがSNSで出回った。セキュリティ企業のwatchTowrは、漏れた内容を本物と認めている。

もともと公表は米国時間22日（日本時間23日0時ごろ）の予定だったが、情報が漏れたため1日早められた。PHPのリリース担当者は、それまでの作業で準備はできていたと説明している。

誰が情報を漏らしたのかは、明らかになっていない。発見に関わったAIの会社が漏らしたことを示す情報も、見当たらない。

ここでいう「情報流出」は、利用者の個人情報が漏れた話ではない。漏れたのは、まだ直す部品が出ていない弱点の情報だ。

21日時点で、実際に悪用された事例は確認していないと、複数のセキュリティ企業やIPAは説明していた。ただ、修正版の公開前から初期の攻撃を見つけたと報告する海外の企業もある。悪用できると主張するプログラムがネット上に出回り始めた、との指摘も出ていた。

修正版が出ると、直した場所から弱点の位置を逆算されやすくなる。そのため、公開直後から攻撃が増えると予測するセキュリティ企業もある。

21日に何が起きたのか、時系列で整理

予告から修正版の公開まで、わずか1日足らず。その間の主な動きを日本時間でまとめた。

日時（日本時間）	出来事
21日0時20分ごろ	海外の技術系掲示板に、近く公表予定のPHPの脆弱性2件についての投稿。後に削除されたが、画面の写しがSNSで広がる
21日4時50分ごろ	PHPの開発を支えるPHP Foundationの公式Xが、修正版を21日23時に公開すると予告（もとは日本時間23日0時ごろの予定だった）。PHP公式サイトにも予告を掲載
21日日中	IPA（情報処理推進機構）と国家サイバー統括室が、サイト運営者に向けて注意を呼びかけ
21日15時50分ごろ	ネットショップ作成サービスのBASEがメンテナンス入り
21日19時	pixiv、ニコニコがメンテナンス入り
21日20時すぎ	サービスの一時停止が急増
21日21時55分ごろ	高市首相がXで「大至急のお願い」を投稿
21日22時ごろ	ウマ娘、グランブルーファンタジーがメンテナンス入り
21日22時半すぎ	PHPが脆弱性の詳細と修正版の公開を告知（予告の23時より少し早まった。各版が出そろったのは23時ごろ）
21日23時30分	pixivなどがメンテナンスを終了
22日1時ごろ	Shadowverse: Worlds Beyondがメンテナンス終了を告知
22日2時30分	ウマ娘がメンテナンスを終了
22日3時22分	コドモンが一部機能を除いてサービスを再開
22日7時	グランブルーファンタジーがメンテナンスを終了（DMM版・GREE版を除く）
22日7時17分	BASEがメンテナンスの終了予定を22日8時まで延長

掲示板の投稿時刻は、海外のセキュリティ専門メディアがまとめた記録による。各社のメンテナンス時刻は告知や報道で示された予定で、作業の進み具合で前後する。

高市首相も「大至急のお願い」　一時停止は“有効策の一つ”

政府の動きも、夜にかけて目立った。高市首相は21日21時55分ごろ、自身のXに次のように投稿している。

「皆様に、今夜に対応して頂きたい大至急のお願いです。多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。」

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
— 高市早苗 (@takaichi_sanae) October 21, 2026

修正パッチとは、修正版と同じく”隙間をふさぐ部品”のことだ。投稿は、国家サイバー統括室のXアカウントでも関連情報を発信していると案内して締めくくられた。いいねは21日深夜の時点で11万件を超えている。

呼びかけの相手は、一般の利用者ではない。ウェブサイトを公開している企業や団体などの運営者だ。サイトの一時停止も「命令」ではなく、すぐに直せない場合に危険を減らす「有効策の一つ」という位置づけになる。国家サイバー統括室も同じ趣旨の呼びかけを出し、IPAは、PHPを使っているかの確認と、修正版をすぐ当てられる準備を求めた。

BASEやpixiv、人気ゲームも　相次いだ緊急メンテ

首相の呼びかけと前後して、ネットショップやイラスト投稿サイト、スマホゲームなどが次々と止まった。お店のたとえで言えば、部品を交換するあいだ、いったん店を閉めた状態だ。主なサービスの状況は次のとおり（いずれも21日夜時点の告知・報道ベース）。

サービス	21日の状況
BASE（ネットショップ作成）	15時50分ごろからメンテナンス。22日7時に終了予定
pixiv、ピクシブ百科事典、pixivFANBOX	19時から22日未明までの予定でメンテナンス。理由は「サービスの安全性確保のため」
ニコニコ	19時から動画などのサービスを順次メンテナンス（生放送などは継続）。終了時刻は未定
ウマ娘プリティーダービー	当初予定の23時ごろから22時ごろに開始を早めてメンテナンス。告知の題名でPHPの脆弱性対応と明記
グランブルーファンタジー	22時からメンテナンス
Shadowverse: Worlds Beyond	緊急メンテナンス
コドモン（保育・教育施設向けサービス）	メンテナンス。21日の告知ではPHPを名指ししていなかった
エックスサーバー	申し込みや契約更新、支払いなど一部の機能を停止。利用者のサーバーは動き続けている
さくらインターネット	一部サービスで緊急メンテナンス

ゲームでは、ほかにもヘブンバーンズレッドが22時30分から、CHUNITHMが会員サイトと公式サイトのお知らせページを23時からメンテナンスすると告知した（CHUNITHMのゲームプレイは可能）。企業の公式サイトやアニメ配信サイトでも一時停止が広がり、一部の自治体もシステムの一時停止を予告した。

pixivやさくらインターネットのように、告知の中で停止理由にPHPを名指ししていない企業もある。ただ、時期が重なっていることから、今回の脆弱性への備えとして報じられた。ニコニコやコドモン、エックスサーバーは、その後の続報でPHPの脆弱性への対応だと説明している。

PHPの脆弱性を受けて、サービスそのものを終えたゲームや、表示の速さで知られる俳優の公式サイトが見られなくなった例もある。

Xでは「23時に何が起きる？」と不安広がる

一斉メンテナンスと首相の投稿が重なり、Xでは21日夜、個人も身を守る必要があるのかと戸惑う投稿が相次いだ。

21日23時ごろの時点で、表示回数が40万回を超えた一般ユーザーの投稿もある。「23時にセキュリティリスクが世界中で発生する」という趣旨の言葉を引き合いに、個人も23時前後はネットを遮断したほうがいいのかと問いかけ、ひとまず24時ごろまでは機内モードにする、とつづったもので、いいねは400件を超えた。

別の投稿は、Wi-Fiの電源を切る、iPhoneやAndroid、パソコンの電源を切る、課金アプリをログアウトするか削除する、といった個人的な対処を紹介し、表示回数は約5万回に達している。返信欄には「パソコンとかもシャットダウンした方がいいかな」と迷う声や、「個人は関係ないのね！」と胸をなで下ろす反応も並んだ。

突然の一斉メンテナンスを目にすれば、不安になるのは自然なことだ。次の見出しで、よくある疑問に一つずつ答える。

個人は何をするべき？　よくある疑問にQ&Aで答える

Q. スマホやWi-Fiの電源は切ったほうがいい？

A. 切らなくていい。今回の対策にはならない。

隙間があったのは、お店の厨房にある道具だ。お客さんが家の電気を消しても、お店の厨房は止まらない。

事実の言い方に直すと、PHPの公式発表は、危険がある対象を「Webサイトへのアクセスを受けて処理するPHP」としている。つまり、サービスを動かしているサーバーの話だ。弱点は、利用者のスマホやパソコン、家のWi-Fiにあるわけではない。利用者がネットを切っても、サーバーはそのまま動き続ける。

Q. 23時に世界中で攻撃が起きるの？

A. 23時は「攻撃が起きる時刻」ではない。PHPが修正版を出す予定の時刻だった。

各社がその前後に店を閉めたのは、新しい部品にすばやく交換するためだ。交換が終わるまでの危ない時間に、外から入り込まれないようにする狙いもある。守る作業をするのは、サービスを運営する側になる。

Q. アプリはログアウト・削除したほうがいい？

A. しなくていい。

メールアドレスや購入履歴などのデータは、お店の倉庫、つまりサーバー側に保存されている。手元のアプリからログアウトしたり削除したりしても、そのデータが消えるわけではない。

Q. 自分の個人情報は大丈夫？

A. 守る役目は、サービスを運営する会社にある。

ここでいう「情報流出」は、弱点の情報が漏れた話で、利用者の個人情報が漏れたという話ではない。BASEやpixiv、コドモンなども、不正アクセスや情報の流出は確認されていないと説明している。万一どこかのサービスで被害が分かった場合は、運営会社から公表や連絡がある。

Q. パスワードは変えるべき？

A. 運営会社から変更を求められたら、その案内に従えばいい。

そのときは、メールやSMSに載ったリンクから急いで手続きしないこと。自分でアプリや公式サイトを開いて確かめるのが安全だ。同じパスワードを複数のサービスで使い回していないか、この機会に見直しておくのも一つの手になる。

Q. 結局、利用者は何をすればいい？

A. 使っているサービスが止まっていたら、公式サイトや公式SNSのお知らせで再開時刻を確かめて待てばいい。

ネットショップで注文や支払いの途中だった場合は、再開後に注文状況を確認すると安心だ。例外は、仕事や勉強のために自分のパソコンでPHPを動かしている人だ。外からアクセスできる状態なら、修正版への更新を急ぎたい。

自分のサイトを持つ人は修正版への更新を

WordPressのブログや店舗のホームページなど、自分でサイトを運営している人は事情が違う。お店のたとえで言えば、自分がお店の主人にあたる。首相や国家サイバー統括室の呼びかけも、この人たちに向けたものだ。

PHPの公式発表は、修正版への更新だけが完全な対策だとしている。すぐに更新できない場合の一時的な設定変更も示されているが、それだけではサイトは安全にならないと公式自身が断っている。対象はPHP-FPMなど、Webサイトへのアクセスを処理するすべてのPHPで、中でもApacheに組み込む「mod_php」という使い方の危険が最も高いという。

PHP 8.1以前の古い版は、PHPの開発チームによる更新の対象外だ。今回は重大さを踏まえ、7.4、8.0、8.1向けに最小限の修正が別途用意されたが、基本はサーバーの提供元が出す修正を確かめるか、サポート中の版へ移ることが求められる。レンタルサーバーでは、サーバー会社がPHPを更新する場合が多く、契約先のお知らせを確認するのが早い。

自分のサイトのPHPバージョンの調べ方や、WordPressでの備えは次の記事でまとめている。

22日朝の状況　pixivやウマ娘は再開、ニコニコなどは続く

【10月22日8時20分追記】

修正版の公開から一夜明け、止まっていたサービスは、部品の交換と安全確認を終えたところから順に再開している。22日8時20分ごろ時点の主な状況は次のとおりだ（各社の公式告知による）。

サービス	22日朝の状況
pixiv、ピクシブ百科事典、pixivFANBOX	21日23時30分にメンテナンスを終了
Shadowverse: Worlds Beyond	22日1時ごろにメンテナンス終了を告知
ウマ娘プリティーダービー	22日2時30分にメンテナンスを終了
コドモン	22日3時22分に再開。所在確認アラートは22日いっぱい止め、23日に再開予定
グランブルーファンタジー	22日7時に終了。DMM版・GREE版は終わり次第知らせるとしている
BASE	終了予定を22日8時まで延長。8時20分ごろの時点では、終了の告知はまだ出ていない
ニコニコ	22日1時ごろ、「少なくとも本日（2026年10月22日）の朝方以降まで」メンテナンスが続く見込みと告知。その後の更新はない
エックスサーバー	22日6時45分ごろ、PHP 8.2〜8.5の修正を対象の全サーバーで終えたと告知。古い版は順に適用中。管理画面などは、点検の済んだ機能から順に再開するとしている

コドモンは、メンテナンス中に欠席の連絡や登園予定が正しく反映されていない可能性があるとして、間違った通知を防ぐために所在確認アラートだけ再開を1日遅らせた。コドモンは、今回の件による不正アクセスや情報の流出は確認されていないとしている。

悪用の状況は、22日朝の時点でも見方が分かれている。米国のサイバー機関CISAは、実際に悪用された脆弱性の一覧（KEV）に今回の2件をまだ載せていない。海外のセキュリティ企業でも、攻撃の試みを観測したとする会社と、自社の顧客の環境では確認していないとする会社がある。国内で被害を公表した組織は見当たらない。

注意が必要なのは、むしろこれからだ。修正版が出たことで、悪い人は直された場所から弱点を調べやすくなる。部品の交換が遅れたサイトや、修正の届かない古い版を使い続けるサイトは、狙われる時間が長くなる。PHP 8.2も2026年12月31日でサポートが終わる予定だ。

何が起きているのかをまとめると、世界中のお店が共通で使う厨房の道具に隙間が見つかり、お店の側が一斉に部品の交換に入った、という状況だ。個人がするべきことは、ネットを切ることではない。使っているサービスの公式のお知らせを確かめ、再開を待つことだ。

[文/構成 by さとうつづり]

寄稿者

さとうつづり

つづり｜ライター・編集者 2018年より個人ブログの運営を開始。アフィリエイトライターとして活動後、Webメディアの運営、記事入稿、編集業務に携わる。7年にわたり「読まれる記事」を追求してきた経験を活かし、現在は日常での気になるニュースに対してコラムを執筆中。トレンドから日常の機微まで、幅広いテーマを独自の視点で言語化します。