PHPの脆弱性で国内246組織が予防停止｜国税庁・銀行・コドモン・レンタルサーバーは何を止め、いつ戻ったか

2026年10月21日の夜から22日にかけて、日本のあちこちのウェブサイトが急に開かなくなりました。国税庁のホームページ、銀行や証券会社のネットサービス、保育園と保護者をつなぐ連絡アプリ「コドモン」、イラスト投稿サイトのpixiv、人気ゲームの公式サイト、そして多くの個人ブログが借りているレンタルサーバーの管理画面までが、「緊急メンテナンス」の表示に切り替わりました。

原因は、ウェブサイトを動かすプログラミング言語「PHP」に見つかった、とても深刻な弱点です。海外では「PHP2Shell」と呼ばれています。

ただ、今回止まったサイトの多くは、実際に攻撃されて壊されたわけではありません。「攻撃される前に、自分から一度止めておく」という判断をしたところがほとんどでした。これを「予防停止」と呼びます。

この記事では、10月21日夜から22日にかけて日本で何が止まり、いつ戻ったのかを、分野ごとに整理します。そのうえで、「予防停止」という判断にどんな意味があったのか、止めた組織と止めなかった組織は何が違ったのかを、専門用語をできるだけ使わずにまとめます。

先に結論を書いておくと、次の4つです。

なお、PHP2Shellという脆弱性そのものの仕組みや、発見から公開までの経緯は、関連記事「PHP2Shell総まとめ」でくわしく書いています。この記事では、日本で起きた「止まる・戻る」の側に話をしぼります。

そもそも何が起きたのか（ざっくり振り返り）

まず、なぜこれほど多くのサイトが一斉に止まったのかを、ざっくり振り返っておきます。

PHPは、ウェブサイトの裏側で動くプログラミング言語です。ブログを書くためのソフト「WordPress」や、ネットショップ、会員サイト、自治体のお知らせページなど、世界のウェブサイトの約7割で使われていると言われています。ふだんサイトを見ている人が意識することはほとんどありませんが、「ページを開くと、その場で中身を組み立てて表示する」仕組みの多くをPHPが担っています。

そのPHP本体に、10年以上前からあったとされる重大な弱点（脆弱性）が2件見つかりました。番号はCVE-2026-109618とCVE-2026-109619です。CVEは、世界中の脆弱性に振られる通し番号のようなものだと考えてください。

どちらも「認証不要のリモートコード実行（RCE）」と呼ばれる種類で、これはパスワードを知らない外部の人が、インターネット越しにサーバーへ好きな命令を実行させられてしまう、というものです。サーバーを乗っ取られると、保存されている個人情報を抜き取られたり、サイトを書き換えられたり、ほかへの攻撃の踏み台にされたりするおそれがあります。

深刻さを表す点数（CVSS）は、評価する機関によって9.2、9.8、8.1と幅がありますが、いずれも10点満点に近い「緊急」に分類される数字です。影響はPHP 5.4以降のほぼすべての版に及ぶと説明されています。

修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）は、日本時間の10月21日23時ごろに公開されました。本来は22日の予定でしたが、情報が先に漏れ始めたため、1日前倒しになっています。

さらに、公開より前の10月17日の時点で、AmazonやCloudflareなどが「この弱点を狙ったとみられる攻撃の試し撃ち」を観測していました。

つまり、日本の運営者から見ると、次のような状況でした。

• 自分のサイトを動かしているPHPに、外から乗っ取られうる弱点があることが分かった。
• 修正版が出るのは日本時間の夜11時ごろで、それまでは直す手段がない。
• しかも、攻撃の試し撃ちはすでに始まっている。
• 修正以外に完全な回避策はない、とPHPの開発者が説明している。

直す方法がまだない、でも狙われている。この状況で「いったん止めて、修正版が出たらすぐに入れて、確認してから戻す」という判断をしたのが、今回の予防停止です。

「試し撃ち」と「侵入成功」は別のもの

ここで1つ、ニュースを読むときに区別しておきたいことがあります。「攻撃が観測された」という言葉には、大きく分けて2つの意味があるということです。

1つは「試行の観測」です。セキュリティ会社は、わざと弱く見せかけた囮のサーバー（ハニーポット）をネット上に置いていて、そこに届いた怪しい通信を記録しています。

Cloudflareは、修正版の公開前に数千、公開後に数百万の試行を観測したと報告しました。これは「攻撃しようとした通信がこれだけ届いた」という意味で、そのすべてが成功したわけではありません。

もう1つは「侵入成功の確認」です。実際にどこかの組織のサーバーが乗っ取られ、被害が出たと確認されたものを指します。

10月24日の時点で、PHP2Shellによる侵入成功を公式に確認した報告は見当たりません。アメリカの政府機関CISAが「実際に悪用が確認された脆弱性」をまとめている一覧（KEV）にも、24日午後の時点では載っていませんでした。

反対に、「侵入成功の確認がない」からといって、「何も起きていない」と言い切れるわけでもありません。乗っ取られたことに気づくまでには時間がかかることが多く、あとから調べて分かる例も珍しくないからです。

この記事では、停止した組織の発表で「不正アクセスは確認されていない」とされているものはそのとおりに書き、確認されていないことを「被害なし」と言い換えないようにしています。今後の調査で状況が変わる可能性がある点は、頭の片すみに置いておいてください。

10月21日夜から22日まで、日本で起きたことの時系列

次に、日本で何がいつ止まり、いつ戻ったのかを時間順に並べます。時刻はすべて日本時間です。各組織の告知や報道で時刻が分かっているものだけを載せていて、ここに出てこない組織も多くあります。

この表から読み取れることを、いくつか書いておきます。

1つ目は、修正版が出る前に止めたところと、出たあとに止めたところがあることです。コドモンは21日の午後2時すぎ、修正版が出る9時間ほど前に停止を告知しています。

一方、国税庁は22日の朝にホームページの一部を止めました。修正版が出たあとに、自分たちのシステムへ入れて確認する作業のために止めた、という順番だと考えられます。

2つ目は、数字がどんどん増えたことです。piyologの集計は、21日21時30分の時点では19組織でしたが、23日昼には246組織になりました。最初は「念のため」と早めに止めたところが目立ち、22日になって「自分たちも点検のために止める」ところが一気に増えた形です。

3つ目は、戻る早さに大きな差があることです。レンタルサーバー各社の多くは22日の朝から夜にかけて再開しましたが、大阪市や電話リレーサービスは22日夜の時点でも再開の時刻を示していませんでした。この差がどこから来るのかは、あとの節でくわしく見ます。

日本では「夜11時」の勝負になった理由

今回、日本の担当者にとってつらかったのは、修正版の公開が日本時間の夜11時ごろになったことです。これには、公開の予定が急に前倒しされた事情があります。

脆弱性が見つかったとき、開発者や関係する会社は、修正版ができるまで内容を秘密にしておく約束をします。これを「エンバーゴ」と呼びます。

修正版より先に弱点の情報が広まると、攻撃する側だけが得をしてしまうからです。今回も当初は22日に公開する予定でした。

ところが、日本時間で21日に日付が変わるころ、脆弱性の番号が誤った情報つきで外に漏れ、海外の掲示板に投稿されました。さらに21日の午後（日本時間）には、ある会社が修正の入ったソフトの部品を先に公開してしまい、秘密の約束が事実上破られました。

こうなると、攻撃する側が修正の中身を調べて弱点を突き止めるおそれが出てきます。そのため、PHPの開発チームは公開を1日早め、21日のうちに修正版を出しました。

21日の14時（世界標準時）は、ヨーロッパでは昼すぎですが、日本では夜11時です。日本の組織は、夜中に修正版を受け取り、朝までに入れて確かめるか、それまで止めておくかを選ばなければなりませんでした。日本で「夜のうちに止める」判断が多かったのは、この時差の事情も大きかったと考えられます。

国も「止めてもいい」と言っていた

日本でこれだけ多くの組織が止めた背景には、国の呼びかけもあります。政府のサイバーセキュリティ対策の司令塔である「国家サイバー統括室」は、21日22時57分にXで注意喚起を出しました。内容は、修正を含む更新をできるだけ早く入れるよう求めたうえで、すぐに入れるのが難しい場合は、ウェブサイトなどを一時的に止めることもリスクを下げる方法の一つだ、と案内するものでした。

ふつう、国の機関が「サイトを止めることも選択肢です」とまで言うことはあまりありません。サイトを止めれば、それを使っている人が困るからです。それでもこう書いたのは、修正版を待つあいだに入られてしまうと、取り返しがつかないと判断したからだと読めます。

同じような呼びかけは海外でも出ていました。イギリスの国家サイバーセキュリティセンター（NCSC）は「すぐに直せないシステムはオフラインにすることを検討してほしい」と呼びかけ、アメリカの国家安全保障局（NSA）も同じ趣旨の警告を出したと報じられています。

オランダでは、国のサイバーセキュリティ機関NCSC-NL自身が、自分たちのサイトを予防のためにオフラインにしました。フィンランド、フランスなどでも政府のサイトを止める動きがありました。

日本だけが特別に慌てたわけではなく、世界の多くの国で同じ判断が同時に起きていた、ということです。

止まった246組織を分野別に見る

piyologの集計は、各組織の告知や報道で「PHPの脆弱性への対応で止めた」と確認できたものを、分野ごとに数えています。全体の顔ぶれをつかむために、まず件数の表を載せます。

合計すると246組織です。ただし、この数字にはいくつか注意があります。

• 報道で伝えられた停止は、件数に入っていないものがあります。JR西日本（約60サイト）、阪急、日本航空（一部機能）、気象庁（一部）、最高裁判所（一部機能）、文部科学省などの停止も報じられていますが、集計の件数とは別に紹介されています。
• 告知でPHPに触れていない組織もあります。北洋銀行、大和証券、ピクシブなどは、自社の告知では「PHP」と書いておらず、報道が「PHPへの対応」として伝えたものを数えています。
• 「止めた範囲」はばらばらです。サービス全体を止めたところもあれば、ログイン機能やお問い合わせフォームなど一部だけを止めたところもあります。246組織が「まるごと止まった」わけではありません。
• 個人のサイトは数えていません。レンタルサーバーのメンテナンスで個人ブログやお店のサイトが見られなくなった分は、この数字には入っていません。実際に表示されなくなったサイトの数は、これよりずっと多いはずです。

こうした点を差し引いても、国の機関から芸能事務所の公式サイトまで、これだけ幅広い分野が同じ日に同じ理由で止まったのは、日本ではあまり例のないことです。以下、分野ごとにもう少しくわしく見ていきます。

国の機関：国税庁、厚生労働省、財務省など

国の機関では、国税庁が22日の朝にホームページの一部とサービスを止めました。税金の申告をネットで行う「e-Tax」のトップページも、一時的に見られない状態になったと報じられています。

10月は確定申告の時期ではないため、困った人はそれほど多くなかったと思われますが、「国税庁を名乗るサイトが開かない」という状況は、ニセのサイトに誘い込む詐欺に使われやすいものです。この点はあとで書きます。

厚生労働省は「介護サービス情報公表システム」などを止めました。これは、全国の介護施設や訪問介護の事業所の情報を調べられる国のサイトです。家族の介護先を探している人や、ケアマネジャーが日々の仕事で使うものです。

財務省もホームページの一部を止めています。報道では、ほかに気象庁、文部科学省、最高裁判所でも一部の機能が止まったと伝えられています。

気象庁や最高裁判所が「一部」にとどまっているのは、サイトの中でもPHPを使っている部分が限られていたためだと考えられます。大きな組織のサイトは、ページごとに作られた時期も仕組みもばらばらなことが多く、「全部PHP」ということは少ないからです。

自治体：札幌市、三重県、大阪市、横浜市など

自治体では18組織が集計に入っています。三重県は26のサイトを止めました。県のサイトには、本庁のページのほかに、観光、防災、施設の予約、各部署の特設ページなどがあり、それぞれ別の仕組みで動いていることがよくあります。その中でPHPを使っているものを一つずつ止めた結果、26という数字になったのだと考えられます。

大阪市は22日17時25分に、止めているサービスを発表しました。22日夜の時点では再開の時刻を示しておらず、安全性が確認できてから再開するとしていました。発表の時点で不正アクセスは確認されていないとしています。

長野県では、県内の24の市町村で一部の機能が止まりました。小さな市町村は、同じ業者が作った同じ仕組みのサイトを共同で使っていることが多く、1つの仕組みに問題があると、まとめて止まることがあります。

自治体のサイトが止まると、住民は「ゴミの出し方」「施設の予約」「各種申請」などが一時的にできなくなります。ただ、今回止まったのはあくまでサイトで、窓口や電話での手続きは通常どおりでした。急ぎの用事がある人は、サイトが開かなくても電話で問い合わせる方法があります。

金融：銀行や証券会社のネットサービス

金融機関は8組織が集計に入っています。北海道銀行、北洋銀行、七十七銀行、りそな銀行、静岡銀行、大和証券などです。どの機能をどこまで止めたかは銀行ごとに違い、集計や報道だけでは細かく分からないものもあります。自分が使っている銀行の状況は、その銀行の公式のお知らせで確かめるのが確実です。

一般に、銀行のサイトは1つの仕組みでできているわけではありません。お金を動かす中心の部分は、銀行の基幹システム（預金や振込を管理する大もとのシステム）とつながる専用の仕組みで動いています。一方で、お知らせのページやキャンペーンの応募フォーム、各種のシミュレーションなどは、別の仕組みで作られていることがあり、そこにPHPが使われている場合があります。

銀行がこうした周辺のページまで止める理由は、「お金の動きには直接関係しなくても、銀行の名前の付いたページが乗っ取られて、ニセのログイン画面に書き換えられたら大変なことになる」という点にあると考えられます。

実際、乗っ取ったサイトを書き換えて、本物そっくりのログイン画面を表示し、IDとパスワードを盗むという手口は昔からあります。本物の銀行のドメイン（住所）でニセの画面が出たら、利用者は見分けられません。銀行の予防停止は、そうした最悪の事態を避けるためのものだったと考えると分かりやすいです。

交通・インフラ：鉄道、航空、電力会社

交通・インフラでは11組織が集計に入っています。阪神電気鉄道、小田急電鉄、ANA、九州電力、東北電力、北陸電力、四国電力などです。報道では、JR西日本が約60のサイトを止め、日本航空も一部の機能を止めたと伝えられています。

ここで誤解しやすいのですが、止まったのは電車の運行や発電所の制御ではありません。鉄道会社の沿線案内やキャンペーンのページ、電力会社の会員向けページやお知らせのページなど、ウェブサイトの側です。電車を動かしたり電気を送ったりするシステムは、一般のインターネットから切り離された別の仕組みで動いていて、PHPのウェブサイトとは関係がありません。

JR西日本の「約60サイト」という数字は、大きな会社ほど細かいサイトをたくさん持っていることをよく表しています。駅ごと、観光キャンペーンごと、グループ会社ごとに別のサイトがあり、それぞれ作った時期も業者も違います。

今回のようなときは、それを一つずつ確認しなければなりません。「どこでPHPを使っているかをすぐに把握できるかどうか」が、対応の早さを大きく左右しました。

生活に近いサービス：コドモン、電話リレーサービス、大学

今回いちばん「生活が止まった」と感じた人が多かったのは、コドモンかもしれません。コドモンは、保育園や幼稚園、学童保育で使われている連絡アプリです。保護者がスマホから欠席の連絡を入れたり、登園・降園の時間を記録したり、園からのお知らせを受け取ったりするのに使われています。

コドモンは、修正版の公開よりかなり早い時間に、次のように動きました。

• 21日の14時16分：全サービスを順次止めるとXで告知
• 22日の3時22分：主要なサービスを再開

夜のうちに修正と確認を済ませ、朝の登園の時間に間に合わせた形です。ITmedia NEWSの取材に対しては、情報が流出すれば被害を完全には取り消せないため、未然に防ぐことを優先した、という趣旨の説明をしたと伝えられています。子どもの名前、写真、健康状態、家庭の連絡先などが入っているサービスだからこそ、「少し不便になっても止める」という判断になったのでしょう。

もう一つ、止まった影響が重かったのが「電話リレーサービス」です。これは、耳の聞こえない人や聞こえにくい人、発話が難しい人が、手話や文字を通訳オペレーターに伝え、オペレーターが相手に電話でつなぐ公共のサービスです。22日21時40分の時点でも停止が続いており、再開の時刻は示されていませんでした。ただし、警察や消防などへの緊急通報は利用できるようになっていました。

大学では、東京外国語大学がサイトの一部を止め、22日12時に授業用のシステム（LMS）などを再開しました。LMSは、課題の提出や講義資料の配布、出席の管理に使うシステムで、止まると授業に直接響きます。

ほかにも筑波大学、岐阜大学、龍谷大学、名城大学などが集計に入っています。大学の授業用システムには、オープンソース（設計図が公開されていて誰でも使えるソフト）の「Moodle」のようにPHPで作られたものが広く使われているため、影響を受けやすい分野でした。

ゲーム・動画・出版：pixiv、Cygames、ニコニコなど

件数でいうと、ゲームが30組織、動画・出版が19組織と、エンタメの分野はかなり多く止まっています。ゲームの分野では、『ウマ娘 プリティーダービー』や『グランブルーファンタジー』を運営するCygames、セガ、コロプラなどが集計に入っており、ブシロードの公式サイトも緊急メンテナンスを告知したと報じられています。

バンダイナムコエクスペリエンスは21日22時ごろに緊急メンテナンスに入りました。発表の時点で不正アクセスや情報漏洩は確認されていないとしています。

動画・出版では、ドワンゴ（ニコニコ）、ピクシブ（pixiv）、ツイキャス、講談社の漫画アプリ「マガポケ」などが集計に入っています。こうしたサービスは、会員のアカウント、課金の履歴、作品データなどをたくさん抱えています。

ゲームやイラストのサービスが止まると「遊べない」で済みますが、アカウントが乗っ取られて課金に使われたり、作品が消されたりすると、取り返しがつきません。会員数の多いサービスほど、止めるほうを選びやすかったと言えます。

通販・チケット・予約：BASE、ローソンチケットなど

通販・チケット・予約の分野では27組織が集計に入っています。楽天ポイントモール、ローソンチケット、カレーハウスCoCo壱番屋を運営する壱番屋などです。また、piyologの21日夜の集計では、誰でもネットショップを開けるサービス「BASE」も、早い段階で停止を告知した組織として挙げられています。

BASEのようなサービスが止まると、その上でお店を開いている多くの個人や小さな会社のショップが、まとめて注文を受けられなくなります。piyologは、BASEの停止に伴って止まった個々のショップは件数に数えていないと断っています。つまり、246という数字の裏には、数に入っていない小さなお店がたくさんあったということです。

通販やチケットのサービスは、住所、電話番号、購入の履歴、場合によっては支払いに関わる情報まで扱います。チケットの発売日やセールの日と重なれば、止めることの影響はとても大きくなります。それでも止めたのは、決済の画面が書き換えられて、カードの番号を入力させるニセの画面を出されるような事態を避けたかったからだと考えられます。

放送、芸能、団体のサイトも

放送・新聞ではRKK熊本放送と福島中央テレビ、芸能・音楽では33組織、団体では全国生活協同組合連合会や文学フリマ事務局など12組織が集計に入っています。芸能・音楽の33組織という数字は、ゲームの30組織より多く、意外に感じる人もいると思います。

アーティストや芸能事務所の公式サイト、ファンクラブのサイトは、WordPressなどPHPで動く仕組みで作られていることが少なくありません。ファンクラブには会員の名前や住所、会費の支払いの情報があります。

イベントの抽選の申し込みを受け付けていることもあります。規模は大きくなくても、守るべき情報は多いサイトです。今回の停止は、大企業や国の機関だけでなく、こうした身近なサイトにまで広く及んだことが特徴でした。

レンタルサーバー各社はどう動いたか

個人でブログやお店のサイトを運営している人にとって、いちばん気になったのはレンタルサーバーの動きだと思います。このブログ「日曜電遊劇場」もWordPressで動いていて、エックスサーバーを借りています。

レンタルサーバーは、1台のサーバーをたくさんの利用者で分け合って使う仕組みで、PHPの更新は基本的にサーバー会社が行います。そのため、今回のような場合は、サーバー会社の判断で利用者のサイトがまとめて止まったり、まとめて直ったりします。

主な会社の動きを表にまとめます。時刻はpiyologの集計や各社の告知をもとにしています。

同じ「レンタルサーバー」でも、動き方にはかなり違いがあったことが分かります。大きく分けると、次の3つの型がありました。

どれが正しいというより、それぞれのサーバーの仕組みと、修正を入れるのにかかる時間によって選び方が変わったと考えるのが自然です。この違いは、次の節で書く「予防停止の考え方」とつながっています。

エックスサーバーの場合

このブログが使っているエックスサーバーは、アカウント管理画面など、会社が運営する部分を止めました。利用者のサイトの表示やメールの送受信は続けていて、「本対応は不正アクセスの発生によるものではございません」と案内しています。

修正の適用は段階的に進みました。新しいPHP（8.2〜8.5）は22日の早朝に、古いPHPは22日の午後にかけて適用され、22日14時03分にPHP 5.6〜7.3への修正の適用が完了したと告知されています。

PHPの開発チームが修正版を出したのは8.2以降だけですが、エックスサーバーはそれより古い版にも自社で修正を当てています。古いPHPのまま動いている利用者のサイトが多いことを考えると、これは大きな意味のある対応でした。

管理画面は22日9時30分に再開し、エックスサーバー自身の紹介サイトなどは20時10分から順次再開しています。利用者から見ると、この間は「ブログは表示されるのに、契約の管理画面には入れない」という状態でした。記事の更新はWordPressの管理画面から続けられましたが、サーバーの設定を変えたり、契約の内容を確かめたりすることは、再開まで待つ必要がありました。

さくらインターネットの場合

さくらインターネットは、21日22時30分から予防のための緊急メンテナンスに入り、22日8時15分から順次再開しました。発表の時点で不正アクセスや情報漏洩は確認されていないとしています。

23日の追記で、提供しているPHPに必要な修正を適用し、緊急メンテナンスを終えたことを知らせています。

さくらインターネットの説明で興味深いのは、「さくらのVPSは、サービス提供部分でPHPを使っていないため影響はない」としている点です。VPSは、サーバーを丸ごと1台借りるのに近い形のサービスで、中に何を入れるかは利用者が決めます。会社の側でPHPを使っていなければ、会社が止める理由はありません。

ただし、利用者が自分でVPSにPHPを入れていれば、それを直すのは利用者自身の仕事です。この「誰が直す責任を持つか」の違いは、とても大事な点です。

バージョン番号が同じでも、直っていることがある

レンタルサーバーを使っている人に知っておいてほしいのが、「PHPのバージョン番号を見ても、直ったかどうか分からないことがある」という点です。

本来なら、PHP 8.3を使っている人は、修正版の8.3.36になっていれば直っている、と番号で確認できます。ところが、多くのレンタルサーバーは、番号を変えずに修正だけを中に入れる方法（バックポート）を取りました。

古いPHP 7.4などには公式の修正版がそもそもないため、サーバー会社が修正を自分で当てています。ConoHa WINGも「表示されるバージョンは変わらない場合がある」と案内しています。

「予防停止」という判断の意味

ここからは、今回の騒ぎの中心にあった「予防停止」という判断について考えます。言葉としては聞き慣れないかもしれませんが、考え方そのものは身近なものです。

たとえば、台風が近づいているとき、鉄道会社は「計画運休」をします。まだ線路に木が倒れたわけでも、電車が止まったわけでもありませんが、走らせていて途中で動けなくなるよりは、前もって止めておいたほうが安全だと判断するからです。

お店が台風の前にシャッターを下ろすのも同じです。予防停止は、これをウェブサイトでやったものだと考えると分かりやすいと思います。

ただ、ウェブサイトの予防停止には、台風とは違う点があります。台風は通り過ぎれば終わりですが、脆弱性は「直すまで、ずっとそこにある」ということです。

つまり予防停止は、「嵐が過ぎるまで待つ」ためではなく、「修正を入れて、確認するまでの時間を作る」ためのものです。止めているあいだに修正版を入れ、問題なく動くかを確かめ、それから再開する。この一連の作業がセットになって、初めて意味を持ちます。

なぜ「直すまで止める」が必要だったのか

ふだん、ソフトウェアの脆弱性が見つかったとき、ほとんどのサイトは止まりません。修正版が出たら、動かしたまま更新を入れるか、夜中の短いメンテナンス時間で入れ替えるのがふつうです。今回これほど多くの組織が止めたのには、いくつかの条件が重なっていました。

• パスワードなしで外から乗っ取れる種類だった。ログインが必要な弱点なら、ログインできる人が限られるので危険は小さくなります。今回は誰でもインターネット越しに攻撃を試せる種類でした。
• PHP本体の弱点だった。特定のプラグインやアプリの弱点なら、それを使っているサイトだけの問題です。今回はPHPそのものなので、PHPで動いているほぼすべてのサイトが当てはまりました。
• 修正以外に完全な回避策がなかった。設定を一つ変えれば防げる、という種類ではないと説明されていました。暫定策として紹介された設定変更も、効果は保証されないとされていました。
• 修正版が出る前から、試し撃ちが観測されていた。情報が予定より早く漏れ、修正版の公開も前倒しになりました。「直す準備ができる前に、攻撃が来るかもしれない」状況でした。
• 修正版が出るのが、日本では夜だった。日本時間の23時ごろという、担当者が集まりにくい時間でした。夜のうちに直せるか分からないなら、先に止めておく、という判断になりやすかったと考えられます。

この5つがそろうと、「動かしたまま様子を見る」ことの危険がかなり大きくなります。修正版を入れる前に入られてしまえば、そのあと修正を入れても、すでに中に入った攻撃者を追い出すことにはなりません。保存されていた個人情報が持ち出されたら、それは取り消せません。

コドモンが説明したとおり、「流出してしまえば被害は完全には取り消せない」という点が、予防停止を選んだいちばんの理由です。

止めることにも「被害」がある

一方で、止めることは「何もしないこと」ではありません。止めればそれだけで困る人が出ます。今回でいえば、次のような影響がありました。

• 保護者が保育園への欠席連絡をアプリで送れない時間ができた（コドモン）
• 耳の聞こえない人などが電話をかけられない状態が1日以上続いた（電話リレーサービス、緊急通報は利用可能）
• 学生が授業用システムで課題を出せない時間ができた（東京外国語大学など）
• 自治体のサイトで申請や施設の予約ができない状態が続いた（大阪市など）
• ネットショップが注文を受けられない時間ができた（レンタルサーバーやネットショップ作成サービスの停止）

お店のサイトなら、止めている時間の売上がなくなります。ゲームなら、期間限定のイベントに参加できなくなる人が出ます。自治体や福祉のサービスなら、代わりの手段を持たない人が困ります。

予防停止は「何も起きなかった」ように見えて、実は「止めたことによる小さな被害」を、たくさんの人に少しずつ引き受けてもらうことでもあります。

ですから、予防停止を判断する側は、「止めた場合に困る人」と「止めずに入られた場合に困る人」を天秤にかけることになります。今回、多くの組織が止めるほうを選んだのは、後者の被害のほうが大きく、しかも取り返しがつかないと判断したからです。

「止めすぎ」だったのか

23日朝の時点で、国内で被害を発表した組織はないと報じられています。侵入成功を公式に確認した報告も、10月24日の時点では見当たりません。また、アメリカのセキュリティ研究機関SANS ISCや、ネットショップのセキュリティを専門にするSansecは、公開された攻撃コードには前提条件が多く、大量の悪用は起きにくいという見方を示しています。

そうなると、「結局何も起きなかったのだから、止めすぎだったのでは」と感じる人もいると思います。ただ、この考え方には注意が必要です。

1. 「何も起きなかった」のは、止めたからかもしれない、ということです。台風の計画運休で電車が止まり、結果として事故が起きなかったとき、「台風は大したことがなかった」のか「止めたから事故が起きなかった」のかは、あとから見分けられません。予防のための行動は、成功すればするほど「やらなくてもよかったのでは」と見えてしまうものです。
2. 21日の夜の時点では、攻撃がどこまで広がるか誰にも分からなかったということです。悪用のしやすさについての専門家の分析が出そろったのは、修正版が公開されてからしばらくたってからです。判断をした人たちは、「試し撃ちが始まっている」「修正以外の回避策がない」という情報だけで決める必要がありました。あとから分かった情報で、そのときの判断を評価するのは公平ではありません。

一方で、海外の分析では、Mirai型と呼ばれるIoT機器（ネットにつながる家電やカメラなど）を乗っ取るウイルスの集団が、この弱点を広がる手段に加えたとみる報告もあります。watchTowrというセキュリティ会社は、21日以降の実際の悪用を囮のサーバーで観測したとしています。

「大量悪用は起きにくい」という見方と、「実際に狙われている」という報告が両方ある状態です。止めすぎだったかどうかは、もう少し時間がたたないと判断できないと考えるのが妥当です。

海外の政府はどう判断したか

予防停止は、日本だけの判断ではありませんでした。むしろヨーロッパでは、日本より踏み込んだ動きが目立ちました。

各国の動きを表にまとめます。

各国に共通しているのは、「止めるのは、直すまでの時間を作るため」という考え方です。止めっぱなしにすることを勧めた国はなく、どこも「更新を入れてから戻す」ことを前提にしていました。

国のサイトは、止まっても売上が減るわけではありませんが、乗っ取られて書き換えられたときの信用の傷は大きくなります。だからこそ、各国の政府は止めるほうを選びやすかったのだと考えられます。

止めた組織と止めなかった組織は何が違ったのか

今回、同じPHPの問題でも、止めた組織と止めなかった組織がありました。止めなかったからといって対応が遅れていたわけではなく、止めずに済む理由があったところも多くあります。ここでは、判断を分けた点を整理します。

表を補足しながら、1つずつ見ていきます。

1. そもそもPHPを使っているかどうか

いちばん基本的な分かれ目は、そのサービスでPHPを使っているかどうかです。さくらインターネットは、さくらのVPSについて「サービス提供部分でPHPを使っていないため影響はない」と説明しました。使っていなければ、止める必要はありません。

当たり前に聞こえますが、実はこれが大きな組織ほど難しい問題です。会社の中に、どのサイトで何のソフトがどの版で動いているかを一覧にした台帳（資産管理表）がなければ、「うちはPHPを使っているのか」という質問にすぐ答えられません。

答えられないなら、念のため全部止めるしかなくなります。JR西日本の約60サイト、三重県の26サイトといった数字は、それだけの数を確認しなければならなかったことを表しています。

2. どこまで止めるか

次の分かれ目は、止める範囲です。エックスサーバーは、利用者のサイトとメールは動かしたまま、アカウント管理画面などを止めました。Shifterは、ダッシュボード（利用者が設定をする画面）の一部の機能だけを止め、公開中のサイトには影響がないと告知しています。

反対に、ロリポップ！は、止めたのがサーバー単位だったため、PHPを使っていないサイトまで表示できなくなったと説明されています。1台のサーバーを多くの利用者で分け合う仕組みでは、「PHPを使っている人だけ止める」という細かい切り分けが難しいことがあります。止める範囲を細かく選べるかどうかは、ふだんのシステムの作り方で決まってしまう部分が大きいです。

3. 修正をすぐ入れられるかどうか

3つ目は、修正版が出たあと、どれだけ早く入れられるかです。mixhost、ColorfulBox、バリュードメインなどは、告知に停止の記載がなく、22日中に修正を適用しています。修正版が出たらすぐに入れ替えられる仕組みと体制があれば、止めずに済むか、止める時間をごく短くできます。

一方、サイトの運用を外部の制作会社に任せている組織は、修正を入れるのにその会社の対応を待たなければなりません。夜中に連絡がつかない、確認の手順が決まっていない、といった事情があれば、「とりあえず止めて、朝になってから確認する」しかありません。自治体や団体のサイトで再開に時間がかかったところがあったのは、こうした事情も関係していると考えられます。

4. 修正版のない古いPHPをどうするか

4つ目は、古いPHPの扱いです。PHPの版ごとの公式の修正の状況を表にまとめます。

ところが、実際のウェブサイトでは、古いPHPで動いているものがたくさんあります。Censysという調査会社の調べでは、分析した約260万台のうち約150万台が、修正版のない古いPHPの版を名乗っていたと報告されています。

この古いPHPの扱いで、各社の対応は分かれました。

• エックスサーバーやhetemlは、古い版にも自社で修正を当てました。
• IDCフロンティアは、とても古いPHP 5.3を最新版に切り替えています（元には戻せないとしています）。
• CPIは、利用者のサーバーは動かしたまま、修正のない古い版について緩和策を案内し、その実施は利用者に任せました。

どれも「古いPHPのサイトを、どうやって守るか」という同じ問題への、違う答えです。

5. 止めたら誰が困るか

最後は、止めた場合に誰がどれだけ困るかです。子どもや家庭の情報を預かるコドモンは、止めて不便になることより、情報が漏れることを避けるほうを選びました。会員数の多いゲームや動画のサービスも、止めるほうを選んだところが多くありました。

反対に、止めることそのものが大きな被害になるサービスもあります。電話リレーサービスは止めることを選びましたが、緊急通報だけは使える状態にしていました。

全部を止めるか全部を動かすかではなく、「これだけは止めない」という線を引いたわけです。止めるかどうかを二択で考えず、「どこを止め、どこを残すか」を考えることが、予防停止のいちばん難しく、大事なところだと言えます。

利用者として知っておきたいこと、やること

ここまでは、止めた側の話を中心に書いてきました。ここからは、サービスを使う側として、今回のようなことが起きたときに知っておきたいこと、やっておきたいことをまとめます。

1. 「メンテナンス中」は、まず公式のお知らせで確かめる

いつも使っているサイトが急に開かなくなったら、まずはそのサービスの公式のお知らせを確かめてください。今回は、多くの組織がXの公式アカウントや、止めていない別のお知らせ用のページで状況を知らせていました。コドモンも、停止の告知はXで出しています。

このとき気をつけたいのは、「検索結果の上のほうに出てきたサイト」や「SNSで誰かが貼ったリンク」を、そのまま信じないことです。公式のサイトが止まっているときは、本物の情報がどこにあるのか分かりにくくなります。

その隙をついて、公式を名乗るニセのページが出てくることがあります。アプリの中のお知らせ、ブックマークしておいた公式のページ、公式アカウントの投稿など、自分で確かめられる場所から見るようにしてください。

2. 「緊急メンテナンス」「お詫び」を名乗るニセの連絡に気をつける

大きなニュースのあとには、それに便乗したニセの連絡がほぼ必ず出てきます。今回なら、次のような文面が考えられます。

• 「セキュリティ対策のため、パスワードの再設定をお願いします」
• 「緊急メンテナンスに伴い、本人確認が必要です。下のリンクからログインしてください」
• 「ご不便をおかけしたお詫びとして、ポイントを差し上げます」
• 「国税庁からのお知らせ：未納の税金があります」

ニセの連絡の見分け方や、情報が漏れたときにやることは、このブログの「情報漏洩が10月だけで13件、6日間で約1450万件」の記事でもくわしく書いています。あわせて読んでみてください。

3. 「止まった」＝「情報が漏れた」ではない

今回止まった組織の多くは、「不正アクセスや情報漏洩は確認されていない」と説明しています。エックスサーバーは「不正アクセスの発生によるものではない」と案内し、さくらインターネットやバンダイナムコエクスペリエンス、大阪市も、発表の時点で不正アクセスは確認されていないとしていました。

4. 代わりの手段を一つ持っておく

コドモンや電話リレーサービスのように、生活に欠かせないサービスが止まると、その間どうするかが問題になります。

• 保育園の連絡なら、園の電話番号を控えておく。
• 自治体の手続きなら、窓口や電話の問い合わせ先を知っておく。
• ネットバンキングなら、ATMやアプリ以外の方法も確認しておく。

こうした「もう一つの手段」を持っておくと、サイトが止まっても慌てずに済みます。

今回の停止は、多くが1日以内に戻りました。ただ、次に同じことが起きたときも同じとは限りません。大阪市や電話リレーサービスのように、再開の時刻がなかなか示されないこともあります。ふだん使っているサービスのうち、止まると本当に困るものはどれか、一度考えておくと安心です。

5. 自分でサイトを運営している人は、サーバー会社のお知らせを読む

ブログやお店のサイトを自分で運営している人は、契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」を確かめてください。レンタルサーバーなら、PHPの修正はサーバー会社が入れています。ただし、前の節で書いたとおり、バージョン番号を見ても直ったかどうか分からないことがあるので、お知らせの文面で確認するのが確実です。

VPSや自分で借りたクラウドのサーバーで、自分でPHPを入れている場合は、直すのは自分の仕事です。サーバー会社が「影響なし」と書いていても、それは会社側の部分の話で、利用者が入れたPHPは含まれていません。

また、10月23日には関連する3件目の弱点（CVE-2026-115560）が告知されていて、これは21日の修正版には含まれていません。サーバーを自分で管理している人は、続報も追ってください。WordPressの個人ブログで確認しておきたいことは、関連記事「このブログもPHPで動いています」にまとめています。

6. 家族や職場にもひと言伝える

ニセの連絡にだまされやすいのは、こうしたニュースを見ていない人です。親が国税庁や銀行を名乗るメールを受け取ったり、子どもがゲーム会社を名乗る「お詫びのアイテム配布」のメッセージを受け取ったりすることがあるかもしれません。

「サイトが止まっていたのは本当だけど、それを理由にパスワードやカード番号を聞いてくる連絡はニセモノ」とひと言伝えておくだけでも、被害を防げます。職場で取引先から「サーバーのメンテナンスに伴う振込先の変更」といった連絡が来た場合も、電話などの別の手段で本人に確かめるようにしてください。

今回の停止から見えること、これから

最後に、今回の日本での停止から見えることと、これから起きそうなことをまとめます。

「どこで何が動いているか」を知っている組織は早かった

今回、早く止めて早く戻した組織に共通していたのは、自分たちのどのサービスでPHPが動いているかを把握していたことです。さくらインターネットは、VPSのサービス提供部分でPHPを使っていないことをすぐに説明できました。

エックスサーバーは、利用者サイトと管理画面を分けて、止める範囲をしぼれました。コドモンは、修正版の公開より前に止めると決め、朝までに主要なサービスを戻しています。

反対に、何十ものサイトを一つずつ確かめる必要があった組織は、そのぶん時間がかかりました。セキュリティの世界では、「守るものの一覧を持っていなければ、守ることはできない」とよく言われます。今回の騒ぎは、それがそのまま表に出た形でした。

「次」はもう告知されている

今回の件は、10月21日の修正版で終わりではありません。10月23日には、セッション（ログイン状態などを覚えておく仕組み）のアップロード進捗機能に関わる3件目の弱点、CVE-2026-115560が告知されました。

• 限られた条件がそろったときに外から命令を実行させられるもので、21日の修正版には含まれず、次の定例の更新で直される予定です。
• それまでの暫定策として、PHPの設定の「session.upload_progress.enabled」を0にする方法が案内されています。

さらに、インターネットの通信を中継するサービスを提供するCloudflareのマシュー・プリンスCEOは、ロイターの取材に対し、インターネットの基盤を支える別の重要なソフトウェアにも、複数の深刻な脆弱性があることを把握していると話しました。AIを使った解析で、長年見過ごされてきた欠陥が見つかるスピードが上がっていて、今後数カ月は対応が相次ぐ、という見方です。

日本経済新聞は、これを「PHP並みの脆弱性『まだ出てくる』」という見出しで伝えています。どのソフトウェアか、いつ公表されるかは明かされていません。

AIが脆弱性を見つけるようになったことで何が変わったのかは、関連記事「AIが脆弱性を見つける時代」でくわしく書いています。ここで言えるのは、今回のような「一斉の予防停止」が、これから何度か起きる可能性があるということです。そのとき、止める側も使う側も、今回の経験を生かせるかどうかが問われます。

止める判断ができる、ということ

今回の騒ぎを「日本中のサイトが止まった大混乱」とだけ受け取るのは、少しもったいないと思います。見方を変えると、多くの組織が「被害が出る前に止める」という判断を、短い時間で下せたということでもあります。

ひと昔前なら、「止めると売上が減る」「止めると苦情が来る」「上の人の許可が取れない」といった理由で、動かしたまま様子を見るのがふつうだったかもしれません。今回は、国の機関や銀行のように、ふだんは止めることに慎重な組織までが止めるほうを選びました。国家サイバー統括室が「一時的に止めることも有効な方法の一つ」と明言したことも、判断を後押ししたと考えられます。

もちろん、止めたことで困った人がいたことも忘れてはいけません。次に同じことが起きたときには、「止めるか、止めないか」だけでなく、「どこまで止めて、何を残し、困る人にどう知らせるか」まで、前もって決めておく組織が増えてほしいところです。

サイトを持つ組織が次に備えておきたいこと

今回の経験から、ウェブサイトを持つ会社や団体、お店が前もって準備しておけることを整理しておきます。どれも大がかりな仕組みは要らず、紙1枚の一覧からでも始められるものです。

• 自分たちのサイトの一覧を作っておく。どのサイトが、どのサーバーで、何のソフト（PHPやWordPressなど）のどの版で動いているか、誰が作って誰が管理しているかを書き出しておきます。これがあるだけで、「うちは関係あるのか」にすぐ答えられます。
• 止める範囲を前もって決めておく。会員のログイン、お問い合わせフォーム、ネットショップの注文画面など、狙われやすい部分だけを止められるようにしておくと、サイト全体を止めずに済む場合があります。
• 止めたときのお知らせ先を用意しておく。サイトが止まると、サイトでお知らせを出せません。公式のSNSアカウントや、別の場所に置いた簡単なお知らせページなど、止まっても使える連絡手段を決めておきます。
• 夜中でも連絡がつく相手を決めておく。制作会社や保守の会社に任せているなら、緊急時に誰に連絡し、誰が止める判断をするのかを決めておきます。今回のように夜中に修正版が出ることもあります。
• 止められないものの代わりを用意しておく。電話リレーサービスが緊急通報を残したように、止めると困るものは何か、その代わりをどうするかを考えておきます。

こうした準備は、今回のPHPの件だけでなく、ほかのソフトの脆弱性やサーバーの故障など、どんな種類のトラブルにも役立ちます。

脆弱性の歴史を知りたい人へ

今回のPHP2Shellは、10年以上前から存在していたとされます。「なぜそんなに長いあいだ見つからなかったのか」「なぜ、こういう弱点はなくならないのか」と疑問に思った人には、『情報セキュリティの敗北史 脆弱性はどこから来たのか』（アンドリュー・J・スチュワート著、小林啓倫訳、白揚社）が参考になります。

出版社の内容説明などによると、この本には次のような特徴があります。

• コンピュータが生まれる前夜から現代のハッキング戦争まで、半世紀以上にわたる情報セキュリティの歴史をたどり、「脆弱性はどこから来るのか」という問いに答えようとしています。
• 大規模な個人情報の漏洩、国家が主導するハッキング、ランサムウェア（データを人質にとって身代金を求めるウイルス）など、ニュースでよく見る問題を、歴史の流れの中で説明しています。
• 技術の話だけでなく、使いやすさ、経済学、心理学の視点や、脆弱性の公開のしかた、報奨金の市場といったテーマも章を立てて扱っています。今回の「公表まで秘密にする約束が破られた」問題を考えるうえでも、背景が分かります。
• アメリカで、優れたサイバーセキュリティの本を選ぶ「Cybersecurity Canon Hall of Fame」の2022年の受賞作に選ばれています。

本文は400ページを超える読みものですが、プログラムを書けなくても読めるように、歴史の本として書かれています。今回の騒ぎをきっかけに、「セキュリティの問題はなぜ繰り返されるのか」を落ち着いて考えたい人に向いています。

情報セキュリティの敗北史 脆弱性はどこから来たのかをAmazonで見る

まとめ

2026年10月21日の夜から22日にかけて、PHPの重大な脆弱性「PHP2Shell」への対応のため、日本では国の機関、自治体、銀行、鉄道や電力、大学、ゲームや動画のサービス、レンタルサーバーなど、少なくとも246組織がサービスの全部または一部を止めました。止まったものの多くは22日のうちに再開し、23日朝の時点で国内で被害を発表した組織は見当たらないと報じられています。

今回の停止のほとんどは、攻撃を受けたからではなく、修正を入れて確かめるまでの時間を作るための「予防停止」でした。パスワードなしで外から乗っ取れる、PHP本体の弱点で、修正以外の回避策がなく、修正版の公開前から試し撃ちが観測されていたという条件がそろったことが、一斉の停止につながりました。

止めるかどうかは、PHPを使っているか、どこまで止められるか、すぐ修正を入れられるか、古いPHPをどうするか、止めたら誰が困るか、で分かれました。止めたことで困った人がいたことも事実で、「どこを止めて、何を残すか」を前もって考えておくことの大切さも見えてきました。

利用者としては、次のことを覚えておくと安心です。

• サイトが止まったら、アプリや公式アカウントなど、自分で確かめられる場所でお知らせを見る
• 「緊急メンテナンス」「お詫び」「パスワード再設定」を名乗るメールやSMSのリンクは押さない
• 「止まった」と「情報が漏れた」は別のことだと知っておく
• 止まると困るサービスには、電話や窓口など代わりの手段を控えておく
• 自分でサイトを運営している人は、サーバー会社のお知らせで対応状況を確かめ、3件目の弱点の続報も追う

同じような脆弱性は「まだ出てくる」とも言われています。次に同じことが起きたときに慌てないよう、今回の流れを覚えておいてください。

なお、PHP2Shellの仕組みと発見から公開までの経緯は関連記事「PHP2Shell総まとめ」で、AIが脆弱性を見つけるようになった背景は「AIが脆弱性を見つける時代」で、同じ時期に起きたほかの事件は「”Black October”の10日間」で、WordPressの個人ブログで確認しておきたいことは「このブログもPHPで動いています」で、それぞれくわしく書いています。気になるところから読んでみてください。

出典

• piyolog（PHPの脆弱性に関連した国内組織の停止・再開のまとめ）
• レジット（国内の停止と再開の時系列）
• mizuho-factory（レンタルサーバー各社の対応状況）
• 中日新聞（PHPの欠陥をめぐる国内の動き）
• 電ファミニコゲーマー（国家サイバー統括室の注意喚起とゲーム各社の緊急メンテナンス）
• @IT PHPの重大脆弱性「php2shell」、パッチ公開まで待てない GMOが示した暫定策と注意点
• Qiita（PHPの脆弱性への対応とWordPress保守での確認事項）
• gihyo.jp（PHPの重大なセキュリティリリース）
• Help Net Security（PHP2Shellの修正版公開）
• watchTowr（CVE-2026-109618のFAQ）
• Devdiscourse（チェコ政府がPHPの警告を受けてサイトを停止）
• 日本経済新聞 PHP並みの脆弱性「まだ出てくる」
• 紀伊國屋書店 情報セキュリティの敗北史 脆弱性はどこから来たのか（書誌情報・出版社内容説明）

※この記事の内容は、2026年10月24日時点で公表されている情報をもとにしています。