高市早苗総理のXに、突然「PHP」「重大な脆弱性」「ウェブサイトを一時停止」という言葉が並びました。「PHPって何？」「いつも使うサービスから情報が漏れたの？」と驚いた人もいるのではないでしょうか。
まず、PHPの重大な脆弱性2件に対する修正版は、2026年10月21日夜に公開済みです。今は、サイトの運営者やサーバー会社が適用を進める段階に入っています。
ただし、脆弱性が見つかったことやサービスが止まったことだけで、利用者の情報漏洩が確定したわけではありません。何が起きたのか、利用者は何をすればいいのかを、公式発表と分けて整理します。
※2026年10月22日朝確認。サービスごとの稼働状況は変わります。下記の事例には発表時点を記載しています。
PHPの脆弱性を高市総理がXで注意喚起！何があった？
高市総理は10月21日午後9時55分、公開しているウェブサイトでPHPを使っているか確認し、修正パッチを速やかに適用できるよう準備してほしいと呼びかけました。
皆様に、今夜に対応して頂きたい大至急のお願いです。
投稿では、すぐに修正できない場合、ウェブサイトなどの一時停止もリスクを下げる方法の一つと説明しています。
ここは時刻に注意。投稿の「今夜」「午後11時」は10月21日の予定を指しています。10月22日朝の現在、まだ公開を待っているわけではありません。
| 時期 | PHPの脆弱性をめぐる動き |
|---|---|
| 10月20日 | PHP側が重大な脆弱性と修正版の公開予定を事前告知 |
| 10月21日 | IPAが事前注意喚起。高市総理もXで対応を呼びかけ |
| 10月21日夜 | PHP公式が修正版を公開 |
| 10月22日朝 | 各運営者・提供会社による更新や確認が必要な段階 |
出典：PHP公式発表、IPAの2026年10月21日付注意喚起、高市総理のX投稿。
PHPの脆弱性とは何？なぜ「重大」なの？
PHPとは、ウェブサイトの裏側で動くプログラミング言語
PHPは、ウェブページを表示したり、入力された情報を処理したりするために使われるプログラミング言語です。WordPressもPHPで作られています。
普段、サイトを読むだけなら意識する機会はあまりありません。自分のスマホに「PHP」というアプリが見当たらなくても、利用しているサイトのサーバーで使われていることがあります。
「脆弱性」はぜいじゃくせいと読みます。ソフトウェアなどのセキュリティ上の弱点のことです。
今回のPHPの脆弱性は、ログインなしで不正な処理を動かされる恐れ
今回公表された識別番号は、CVE-2026-109618とCVE-2026-109619の2件。PHPのメモリ処理に関係する不具合です。
条件がそろうと、攻撃者がログインせずに、サーバー上で不正なプログラムを実行できる恐れがあります。「遠隔コード実行」「RCE」という報道の言葉は、このことを指しています。
そこからデータの窃取や改ざんなどにつながる危険があるため、緊急の対応が呼びかけられています。ただし、影響する構成や攻撃の成否は環境によって異なり、すべてのサイトで被害が出たという意味ではありません。
CERT-EUの評価では、2件とも深刻度を示すCVSS v4.0のスコアは9.2で「Critical」。これは危険性の評価であって、「92％の確率で情報が漏れる」という数字ではないので、混同しないようにしたいところです。
出典：PHP公式セキュリティ告知、CERT-EU Security Advisory 2026-018、財務省のお知らせ。
PHPの脆弱性で情報漏洩した？「攻撃の観測」と「被害確定」は別
いちばん気になるのは、自分の情報が漏れたのかどうかですよね。
今回の脆弱性を理由に停止したサービスすべてで、情報漏洩が起きたと確認されているわけではありません。被害の有無は、各サービスの調査・発表ごとに見る必要があります。
一方で、「攻撃はまだないから大丈夫」とも言えません。セキュリティ企業watchTowrは、10月21日に自社の観測網で悪用を観測したと報告しています。これは警戒が必要な情報ですが、特定の国内サービスから個人情報が漏れたと確認した発表とは別です。
| 見かける言葉 | 分けて考えたいこと |
|---|---|
| 脆弱性が判明した | 弱点があること。利用者の情報流出が確定した意味ではない |
| 脆弱性の技術情報が流出した | 弱点に関する情報の話。顧客データの漏洩とは別 |
| 悪用が観測された | 攻撃に使われているという報告。自分の利用先での被害は別途確認が必要 |
| 予防的にサービスを止めた | 被害を防ぐための措置の場合がある |
| 情報漏洩を確認した | その事業者が確認した対象・情報の種類を調べる段階 |
「流出」という言葉だけでは、何が流出した話なのか分かりません。技術情報なのか、利用者の情報なのか。見出しを見て焦ったときほど、そこを確認したいですね。
出典：watchTowr「PHP CVE-2026-109618 FAQ」（10月21日更新）、各事業者の告知。
PHPの脆弱性でサービス停止はなぜ？実際の発表を確認
サービスを止めるのは、外部から攻撃を受ける機会を減らしたり、修正と安全確認を行ったりするためです。CERT-EUも、すぐに更新できない場合、インターネットに公開しているアプリケーションの隔離を検討するよう勧めています。
使えない側には不便ですが、「何かを盗まれたから止めた」とは限りません。
財務省はPHPの脆弱性への対応で一部サービスを停止
財務省は10月21日付のお知らせで、PHPの脆弱性を受け、セキュリティの点検や修正プログラムの適用のため、一部のコンテンツ・サービスを一時停止すると説明しました。
これはホームページ全体の停止という発表ではありません。また、このお知らせ自体が情報漏洩の発生を確認したものでもありません。
コドモンのメンテナンス告知では情報漏えいは「確認されていない」
子育て施設向けICTサービスのコドモンも、10月21日の続報で、利用ソフトウェアの重大な脆弱性に対する予防的措置として全サービスを停止したと説明しています。
同告知では、本件に起因する不正アクセスや情報漏えいは、引き続き確認されていないとしています。なお、この告知本文はソフトウェアをPHPと名指ししていません。
再開は「10月22日早朝の見込み」とされていましたが、予定の記載と実際の再開確認は別です。この記事では、その続報時点の説明として紹介しています。
出典：財務省「プログラミング言語PHPの脆弱性への対応について」、コドモン「【緊急メンテナンス・続報】施設のみなさまへ代替手段のご案内」（いずれも10月21日）。
PHPの脆弱性対策は何をすればいい？利用者と運営者で違う
PHPを使うサービスの利用者は、停止状況と個別のお知らせを確認
サイトを見る人や、アプリでサービスを利用する人が、提供元のサーバーにPHPの修正プログラムを入れることはできません。直接の更新作業を行うのは、サービス運営者やサーバーの管理者です。
- 使っているサービスのメンテナンス・障害情報を確認する
- 利用できない間の代替手段や、連絡方法の案内を読む
- 情報漏洩やパスワード変更について個別の通知があれば、対象と手順を確認する
今回のニュースだけを理由に、すべてのサービスでパスワード流出があったと決めつける必要はありません。自宅のWi-Fiを切っても、提供元のサーバーのPHPが修正されるわけではない点も押さえておきましょう。
WordPress運営者はPHP自体の修正状況も確認
ブログや会社のサイトを管理している場合は、確認する側になります。WordPress本体・テーマ・プラグインの更新と、サーバーのPHPの更新は別です。
WordPressでは通常、「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。ただし、表示された数字だけで自己判断せず、契約しているサーバー会社の対応状況も確認してください。
- PHPを使うサイト・サービスと、その管理担当を確認する
- サーバー会社や保守会社の告知で、今回の2件への対応状況を確かめる
- 自分で変更する必要がある場合は、バックアップと互換性を確認して進める
- 更新後は表示・ログイン・フォームなどの動作を確認する
すぐに修正できない場合の停止・隔離は、影響と運用を含めて管理担当と相談する話になります。設定を一つ変えれば完全に安全になる、と考えないことが大切です。
PHPの修正版はどれ？バージョン番号だけでは分からない場合も
PHPプロジェクトが公開した修正版は、次の4系統です。
| 系統 | 今回の修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
ただし、OSの配布元やサーバー会社が、元のバージョン番号を保ったまま修正を取り込む「バックポート」もあります。Ubuntuも独自のパッケージ番号で修正版を案内しています。
上の番号と違うから未対応、と一律には判断できません。提供元が今回のCVE2件に対応済みかが確認のポイントです。古いPHPを使っている場合も、提供元の修正やサポート、移行の案内を確認しましょう。
出典：WordPress公式「Update PHP」、PHP公式リリース情報、Ubuntu Security Notice USN-8948-1。
PHPの脆弱性と高市総理の投稿に、Xではどんな反応？
Xでは、対応の緊急性に触れる声と、「そもそもPHPが分からない」という戸惑いの両方が見られました。ここでは、実際に確認できた投稿を紹介します。
エンジニアのDaiki Matsudateさんは、総理大臣がPHPに言及したことに触れ、対応を呼びかけています。
総理大臣がPHPに言及するなんてすごいことなので対応してください。
一方、ももぴさんの投稿には、発信への感謝とともに、PHPそのものを知らないと内容を理解しづらいという声も。
発信はありがたいんだけど、そもそもPHPを理解していないと分からないよ。。。
専門用語が突然トレンドに入ると、自分に何が関係するのか分からなくなりますよね。一般の利用者への説明と、実際に更新を行う担当者への緊急連絡を分けて読むと、今回の呼びかけも理解しやすくなります。なお、上記はX上の一部の反応で、全体の意見の割合を示すものではありません。
PHPの脆弱性まとめ｜情報漏洩の有無と、必要な対策を分けて確認
- 重大な脆弱性2件の修正版は10月21日夜に公開済み
- サービス停止は、被害を防ぐための予防措置の場合もある
- 自分の情報が漏れたかは、利用サービスごとの発表で確認する
- 運営側はPHPの修正状況を確認し、利用者側は停止中の案内や個別通知を確認する
「PHPが危ない」という大きな話だけだと、不安ばかり残ってしまいます。まずは、自分が利用者なのか、サイトを管理する側なのか。それによって必要な対応が違う、というところから整理するとよさそうです。
猫のひとこと
知らない言葉ばっかりで疲れたでしょ。全部覚えなくていいよ。自分に必要なところが分かったなら、ひとまず一歩前進だね。
猫のひとこと
「停止」と「漏洩」は別の話だよ。びっくりするのは分かるけど、まず自分が使ってるサービスの説明を見よう。