ワールドクエストがサ終、理由はPHPの深刻な脆弱性

公式Xアカウントが「サービス終了のお知らせ」を投稿したのは、21日午後11時21分だった。サービスサイトに掲げた告知文によると、同日、ワールドクエストのサーバーで使うPHPそのものに深刻な脆弱性が見つかったとの発表があった。運営は、ゲームが古い仕組みの上で動いているため十分な対策をとれないと説明し、利用者の情報を守ることを第一に考えて「本日をもって」終了すると明らかにした。

【サービス終了のお知らせ】
ワールドクエストのサーバーで使っているPHPそのものに、深刻な脆弱性が発見されたとの発表がありました。古い仕組みのため十分な対策がとれず、皆さまの情報を守るため、本日でサービスを終了いたします。突然のお知らせとなり申し訳ありません。 pic.x.com/kk02ocApfJ

— ワールドクエスト公式 (@w_quest_com) October 21, 2026

なぜ予告期間を置かず、当日の終了なのか。

告知文が挙げる理由は2つある。脆弱性そのものの重さと、古い仕組みのせいで手当てができないことだ。PHPの開発チームは21日に修正版を出したが、更新の対象はPHP 8.2以降の版に限られる。8.1以前の古い版はすでに開発チームの更新対象から外れていて、7.4、8.0、8.1向けには最小限の修正ソースが公開されただけだった。運営は使っていた版を明かしていないものの、告知の言葉どおり、対策を打てないまま動かし続けるより止める道を選んだ。

告知の最後で、運営は突然の知らせになったことをわびた。21日は緊急対応のため簡単なあいさつにとどめ、利用者へのあいさつは後日あらためて同じページに載せるとしている。

ワールドクエストとは　世界を巡る本格旅行ゲーム

ワールドクエストは、ゲームの中で世界を旅する旅行ゲームだ。プレーヤーは各地の世界遺産や名所を訪ね、旅先で手に入る民族衣装でアバターを着飾り、マイルームのコーデや、各地のおみやげを集めて友達に贈ることも楽しめる。公式サイトは「100カ国、1000都市、1000名所以上（今後の予定を含む）」をうたっていた。

公式Xのプロフィールによると、2011年から2019年まで、アプリのほかGREE、Mobage、ワクプラなどで公開していた。運営会社の代表が2019年に公式サイトへ載せた文章では、タイトルは人気RPGを意識して付けたと明かしている。

2019年に一度終了、コロナ禍の2020年に復活

最初のワールドクエストがGREEで公開されたのは2011年4月だった。この版は約1年半で終わり、2012年11月末に新生「ワールドクエストG」がGREEで始まる。その後はモバゲーやワクプラ、エンタグ、アプリヒルズへと遊べる場所を広げた。

2019年5月7日に公開を終えた際、運営会社の株式会社マナブ・イガラシの代表、五十嵐学は「最後の言葉」と題した文章を公式サイトに載せた。売上が次第に減り、事業として成り立たない水準を1年以上前に超えていたと終了の理由を説明し、2000日連続でログインした利用者もいたと記している。

転機は翌2020年5月に来る。新型コロナウイルスの流行で海外旅行に行けない人たちに、ゲームの中で海外旅行を楽しんでもらおうと復活した。中身はほぼ変わっていない、と公式Xのプロフィールは説明している。

そこから約6年半。復活のきっかけだった海外旅行の制限はなくなったが、ゲームは動き続けた。最後の幕引きを決めたのは、収益ではなく安全の問題だった。

PHPの脆弱性とは　大手サービスも緊急メンテナンスに

PHPは、Webサイトやオンラインサービスのサーバー側で広く使われるプログラム言語だ。PHPの開発チームは10月21日、CVE-2026-109618とCVE-2026-109619の2件の脆弱性を公表した。深刻度を示すCVSS v4.0の値はどちらも9.2で、悪用されると外部からサーバー上で任意のプログラムを動かされる恐れがある。

修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35は、日本時間21日午後11時ごろに公開された。同じ日にはBASEやpixiv、ニコニコ、「ウマ娘 プリティーダービー」など多くのサービスが相次いで緊急メンテナンスに入り、高市早苗首相もXでサイト運営者に対応を呼びかけた。

関連記事：“最後の砦”阿部寛のホームページも閲覧できず　PHP脆弱性に伴うニフティの緊急メンテ、ファン発祥の公式サイトがXでトレンド入り

ワールドクエストの告知が出たのは、修正版の公開から20分ほど後。ワールドクエストが攻撃を受けた、情報が漏れたとする発表はない。

関連記事：【PHP脆弱性パニック】「php2shell」とは　大手Webサービスが緊急メンテ、高市総理もコメントする事態に「何が起きてる？」「個人は何をするべきなの？」にわかりやすく解説

Xでは運営の判断を評価、データや課金の扱いは

即日終了の判断をたたえる投稿が相次ぐ

公式Xの告知は、22日までに3万4000件を超える「いいね」を集めた。告知への返信では、利用者の情報を優先してすぐに止めた運営の判断を評価する投稿が目立つ。2019年にいったん終わっていたゲームについて、これまで遊べる状態を残してきたことへの感謝をつづる投稿も寄せられている。

データや課金の扱いは告知に記載なし

利用者が気になるのは、これまでのデータや課金の扱いだろう。ただ、21日の告知には、セーブデータや課金アイテム、払い戻しについての記載はない。サービスを止める具体的な時刻にも触れていない。詳しい案内は、運営が後日掲載するとしたあいさつを待つことになる。

今回の脆弱性はサーバー側の問題で、利用者がスマートフォンやパソコンで特別な操作をする必要はない。パスワードの再設定などを求めるメールやメッセージが届いた場合は、リンクを開かず、公式サイトや公式Xの案内を確かめたい。

コロナ禍に旅の代わりを届けたゲームは、利用者の情報を守るための決断で、最初の公開から15年の歴史に区切りをつけた。

[文/構成 by ミヅキ]