『僕の魔界を救って！』サービス終了を発表　深刻なPHP脆弱性への対応が困難に

時間がない人向けの30秒で理解ゾーン

スマートフォン向けの放置型RPG『僕の魔界を救って！』の運営が2026年10月22日、公式Xと公式サイトでサービス終了を発表した。理由は、サーバーで使うプログラム言語PHPに見つかった深刻な脆弱性（セキュリティ上の弱点）だ。サーバーが古い環境のまま動いていて安全な対応が難しいとし、利用者の情報を守るためにサービスを終えると説明した。

↓ 詳細が気になる方は、このまま下へ ↓

公式Xで「対応が困難」と告知、10年以上の運営に幕

公式Xアカウント（@bokumaka）が「サービス終了のお知らせ」を投稿したのは、10月22日午前10時41分（日本時間）だった。告知では、深刻なPHP脆弱性への対応が困難になったためサービスを終了すると伝え、突然の知らせになったことをわびた。「10年以上にわたり遊んでくださった皆さま、本当にありがとうございました」と、利用者への感謝も添えている。

公式サイトに掲げた同じ日付のお知らせは、事情をもう少し詳しく書いている。本作のサーバーで使っているPHPに深刻な脆弱性が確認された。サービス開始から10年以上がたち、サーバーはPHPを含めてかなり古い環境の上で動き続けていたという。

運営は、遊ぶ人が少なくなってからも、できる限りこの場所を残したいと考えてサーバーを維持してきた。だが、今回の問題は「現在のシステムやハードウェアのまま安全に対応することが難しく、OSやPHPを新しい環境へ移行することも現実的ではない状況です」と説明する。そのうえで、利用者の情報を危険にさらしたまま運営を続けることはできないと判断した。

公式サイトのお知らせの中で、運営は作品の今後にも触れた。サービスは終わるものの、作品そのものまで完全に終わりにしたいとは思っていないという。今すぐ何かを約束できるわけではないとしたうえで、「いつか違う形で魔界に戻れる日が来たらいいなと思っています」とつづった。お知らせは「そのときは、また魔界を救いに来てください」と呼びかけ、10年以上遊んでくれた利用者への感謝を改めて伝えて締めくくられている。

一方、セーブデータの扱いなど、終了に伴う手続きについての案内は、10月23日朝の時点で公式サイトにも公式Xの告知にも載っていない。サービスを止めた具体的な時刻も示されていない。10月23日朝に確かめたところ、App StoreとGoogle Playの作品ページはどちらも開けなくなっていた。

魔王になって魔界を取り戻す「文字だけ」の放置型RPG

『僕の魔界を救って！』は、人間に奪われた魔界を魔王となって取り戻していく、放置型のファンタジーシミュレーションRPGだ。iPhoneとAndroid向けに配信され、基本プレイは無料。アプリの販売元はJAGSで、公式サイトは神戸市のシステム開発会社、日本アートギアシステムズのドメインに置かれている。

遊び方はシンプルだった。行き先と出撃するメンバー、作戦を選んで魔王軍を送り出し、あとは帰りを待つ。作戦の時間は現実の時間と連動していて、30分の作戦なら実際に30分たつと魔王軍が戻ってくる。画面は基本的に文字だけで、戦いの様子も物語もテキストで描かれる。見えない場所で戦う部下の姿は、記録を読みながら想像で補う。

登場は2011年。同じ年の7月、公式サイトにはサーバーの遅延やエラーへのおわびと、負荷対策やサーバー増強のメンテナンスを知らせる投稿がいくつも並んでいた。

それから15年。修正やメンテナンスを可能な範囲で続けながら、運営はサーバーを動かし続けてきた。公式サイトの言葉を借りれば、「できる限りこの場所を残したい」という思いからだった。

原因となったPHPの脆弱性、評価は10点満点中9.2

PHPは、Webサイトやオンラインサービスのサーバー側で広く使われているプログラム言語だ。利用者が直接触れることはほとんどないが、多くのサービスの土台になっている。

PHPの開発チームは10月21日、公式サイトでセキュリティ情報を公表した。対象は「CVE-2026-109618」と「CVE-2026-109619」の2件。CVEは、世界共通で使われる脆弱性の登録番号だ。どちらも、ログインしていない第三者が外部からサーバー上でプログラムを動かせる「リモートコード実行」につながる恐れがある。1件目はメモリー不足のときの処理、2件目はメモリーを手放した後も残ってしまう内部の情報が原因になる。

PHPの開発チームは、修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35への速やかな更新を求めた。CVEのレコードによると、深刻度の評価（CVSS v4.0）は2件とも9.2で、区分は最も重い「Critical（緊急）」になる。この点数を付けたのは、脆弱性の情報を登録したPHP側だ。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）もレコードに評価を追加したが、こちらはCVSSの点数ではない。評価を加えた10月21日の時点で悪用は確認されていないものの、悪用された場合の影響は全面的に及ぶ、という内容だった。

問題は、古いPHPを使うサービスだ。PHPの開発チームによると、PHP 8.1以前のバージョンはすでに開発チームの更新の対象から外れている。重大さを考えて、7.4、8.0、8.1向けには最小限の修正を出したものの、開発チームは対応する会社への相談か、サポート中のバージョンへの移行を勧めている。『僕の魔界を救って！』の運営は、使っていたPHPのバージョンを明かしていない。