10年以上潜んでいたPHPの重大脆弱性、日本で攻撃を検知：大和証券や三菱UFJ、すき家が一部サービス停止
世界中のウェブサイトの約7割を動かすプログラミング言語「PHP」に、深刻度の指標で最も高い「緊急」にあたる脆弱性が2件見つかりました。開発チームが2026年10月21日に情報を公表すると、攻撃はすぐに現実のものになりました。国内でも複数のサーバーを狙った攻撃が検知され、大和証券や三菱UFJ銀行、「すき家」を展開するゼンショーホールディングスなどが一部サービスの停止に追い込まれています。
公表から数時間で数百万件の攻撃試行
米サイバーセキュリティー大手クラウドフレアのマシュー・プリンス最高経営責任者（CEO）は10月22日、自身のX（旧ツイッター）に「脆弱性の公表後、悪用する試みが数百万件確認された」と投稿しました。攻撃者たちが、公表された技術情報を読み解いて脆弱性を突くコードを作り、世界中のサーバーにばらまいている実態が浮き彫りになっています。
日本でも、情報セキュリティー会社「トレンドマイクロ」は10月22日朝までに、国内の複数のサーバーへの攻撃を検知したことを明らかにしました。被害の有無は今のところ不明としていますが、攻撃が既に日本国内のネットワークに到達していることは間違いありません。公表から1日足らずで攻撃が観測されるというのは、パッチの適用を急がなければならない典型的なパターンです。
金融機関から飲食チェーンまで、相次ぐサービス停止
影響は日本の身近なサービスにも及んでいます。
大和証券は10月21日、緊急メンテナンスのため、口座開設や住所変更などウェブサイトでの一部サービスを停止しました。三菱UFJ銀行も10月22日、投資信託の口座開設などのインターネットサービスを一時停止していると発表しています。
外食業界では、ゼンショーホールディングスが10月21日夜から、牛丼チェーン「すき家」など自社で展開するほとんどのブランドの公式アプリとネット上の予約を順次遮断する対応を取りました。スマホアプリで席の予約や注文をする利用者にとっては、突然使えなくなった形です。
官公庁も例外ではありません。財務省は、一部の機能を停止したことをウェブサイトで伝えています。金融、飲食、行政と、業種を問わず広範囲に影響が出ているのは、PHPがあまりに広く使われているからです。
なぜ10年以上も見過ごされたのか
今回の脆弱性について、米グーグル傘下のセキュリティー会社「ウィズ」によると、10年以上前から存在していたとのことです。さらに注目すべきは、PHPの開発を支援するPHP財団が2024年の時点で脆弱性の懸念を把握していたという事実です。開発者の人手不足などを理由に修正は先送りされた、と伝えられています。
これはオープンソースの世界が抱える構造的な課題を象徴しています。PHPは30年以上前に登場し、習得しやすい言語として世界中のウェブサイトで使われています。しかし、その土台を支える開発体制は決して潤沢ではなく、重要な脆弱性の修正が後回しにされる余地がありました。悪用されるとサイトの改ざんや顧客情報の窃取、サービス停止といった致命的な被害が生じるとされており、企業の対応は今まさに進行形です。
ガートナーが日本企業に緊急提言「7つのアクション」
ちょうどこのタイミングで、調査会社ガートナーの日本法人は10月13日、日本企業で多発する不正アクセス事案を受けた緊急提言を発表しています。2026年9月以降、国内では重大な不正アクセスや個人情報漏えいが相次いでおり、同社の礒田優一氏は、攻撃にAIが利用されるのが当たり前になり、脆弱性や設定不備が短期間かつ広範囲で悪用されることになると指摘しています。
ガートナーが挙げた緊急対応の例は次の通りです。
- インターネット公開資産の緊急点検（Webアプリ、API、管理画面、VPN、クラウドなど）
- ソフトウェアの脆弱性に加え、認証やAPIの設定不備も含めた点検
- VPNやWAF、認証基盤などのログを横断的に調査し、不正アクセスの兆候を確認
- 不要になった個人情報が確実に消去されているかの確認
- 内部ネットワークへの水平展開（ラテラルムーブメント）を抑える分離や特権管理
同社が2026年7月に実施した調査では、日本の大手企業のうち脆弱性管理を十分に実施できているのは30％にとどまったとのことです。今回のPHPの問題は、まさにその「残りの70％」に向けた警鐘だと言えます。
サイト管理者が今すぐやるべきこと
PHPで構築されたサイトやシステムを運用している場合、やるべきことは明確です。まずPHPの開発チームが公表した修正プログラムを適用し、脆弱性のあるバージョンを使い続けていないか確認してください。WordPressなどPHPベースのCMSを使っている企業も多く、影響範囲の確認は早めが吉です。
一般の利用者としてできることもあります。証券や銀行のネットサービスが一時停止している場合は、公式サイトの案内を確認し、無理な操作を繰り返さないようにしましょう。攻撃の波が収まるまで、怪しいメールのリンクをクリックしたり、見慣れないログイン画面で認証情報を入力したりするのは特に危険です。
脆弱性の公表から攻撃の開始まで、もはや猶予は数時間単位になっています。PHPというインターネットの土台に開いた穴を塞ぐには、開発側の修正と利用側の適用、両輪のスピードが求められています。
Frequently Asked Questions
PHPの脆弱性とは何が起きているのですか
プログラミング言語PHPに深刻度の最も高い脆弱性が2件見つかり、2026年10月21日に公表されました。悪用されるとサイトの改ざんや顧客情報の窃取、サービス停止などが起きるおそれがあり、公表後には国内でも実際に攻撃が検知されています。
自分の使っているサービスは大丈夫ですか
大和証券、三菱UFJ銀行、すき家などの公式アプリやネットサービスは一時停止や制限の対応を取っています。各社の公式サイトの案内を確認し、サービスが再開するまでは急ぎでない操作を控えるのが無難です。
企業の担当者は何をすればいいですか
PHPの修正プログラムを速やかに適用し、脆弱性のあるバージョンを使用していないか確認してください。ガートナーも公開資産の緊急点検やログの横断調査など、攻撃の兆候がないかの確認を推奨しています。
Post Comment