2026年10月21〜22日に停止・緊急メンテナンスを実施した国内 90 件を記録。PHP脆弱性への対応状況を、業種と開始時刻で一覧にしました。
最終更新 自動更新
| 〜17時 | 18-20時 | 21時台 | 22時台 | 23時台 | 10/22 | 時刻なし | |
|---|---|---|---|---|---|---|---|
| ゲーム | – | 217% | 217% | 542% | 325% | – | – |
| 配信・出版 | 16% | 739% | – | 844% | 211% | – | – |
| EC・決済 | 444% | – | – | 333% | 111% | – | 111% |
| 金融 | – | – | – | – | – | 125% | 375% |
| 行政・公的 | – | – | – | – | 114% | 114% | 571% |
| サーバー・基盤 | 316% | 211% | – | 211% | 211% | 211% | 842% |
| 業務サービス | 220% | 220% | – | 220% | 110% | – | 330% |
| その他 | 655% | 19% | – | – | 19% | – | 327% |
件数 ／ 業種内の構成比
起きた順に並べています。業種で絞り込めます。左の一覧から選ぶと、右に止めた範囲・再開時刻・対応の経緯が出ます。
保育施設と保護者をつなぐ連絡・登降園管理が止まり、保護者向けアプリも使えなくなった。
ショップページの閲覧と注文ができず、ショップ運営者は管理画面にも入れない状態になった。
契約者は管理画面に入れず、新規申し込みと支払いもできなくなった。利用者のWebサイトの表示とメールの送受信は通常どおり続いた。
公式サイトが閲覧できなくなった。Webカタログとエントリーは継続した。
オンライン即売会とエントリー管理の全機能が止まった。
就職・転職サービスの全機能が止まった。
小説投稿サイトを含む全サービスが利用できない状態になった。
Webサイトとアプリの両方が利用できない状態になった。
会計・給与などの業務システムに付随するサポート系サービスが使えなくなった。奉行クラウドと奉行クラウドEdge の通常操作には影響がなかった。
緊急メンテナンス中は管理機能が利用できない状態になった。
動画の視聴と投稿ができなくなった。生放送、大百科、ログインは継続した。
メンテナンス中は両サービスにアクセスできない状態になった。
ゲームと公式サイトの両方が利用できない状態になった。
サイトの編集ができなくなった。公開済みのサイトの閲覧には影響がなかった。
契約者のWebサイトと Roundcube の Webメールが使えなくなった。通常のメール送受信と FTP には影響がなかった。
メンテナンス中はゲームを開始できず、プレイもできない状態になった。
ショップページの表示と購入、管理画面が利用できない状態になった。
緊急メンテナンス中はゲームを利用できない状態になった。
視聴も配信もできない状態になった。
購入とダウンロードができない状態になった。
業務チャットが利用できない状態になった。
サイトの閲覧に加えて新規受注も止まった。
サービスサイトがメンテナンス画面に切り替わった。
緊急メンテナンスにともなう短時間の影響にとどまった。
PHPのバージョンアップ作業にともなう短時間の影響にとどまった。
ホームページの一部コンテンツとサービスが閲覧できない状態になった。
サービス本体はPHPを使用しておらず、利用への影響はなかった。
WordPress向けセキュリティサービスの一部が一時的に使えなくなった。
事業者側はサービスを止めず、利用者に自サイトの公開停止の検討を求めた。
写真の閲覧と注文ができない状態になった。
契約者はユーザー専用ページ、FTP、APIを使えなくなり、一部の利用者サイトも制限された。
買い物と注文が一時できない状態になった。
介護サービスの検索と情報公表が止まった。
議員事務所の公式サイトが閲覧できない状態になった。
運行情報を含むウェブサイトが閲覧できない状態になった。
行政情報の発信と一部の申請手続きが止まった。
深夜の50分間のメンテナンスで完了し、利用者側の作業は不要だった。
新規の口座開設と各種申し込みの受け付けが止まった。
e-Taxのトップページが閲覧できなくなり、納税者向けの案内はSNSで行われた。
利用者が自分で適用できる修正パッケージが提供された。
証券口座の開設申し込みができず、カードローンのWeb返済も一時止まった。
一部のサービスが利用できない状態になった。
気象情報の提供系を含むシステムが一時停止した。
行政情報の一部が閲覧できない状態になった。
プリペイドカードのアプリが使えなくなり、飲食店などで使えるクーポンの提供も止まった。
php2shell（ピーエイチピー・トゥー・シェル）は、2026年10月に公表された PHP 本体の脆弱性2件、CVE-2026-109618 と CVE-2026-109619 につけられた通称です。PHP はウェブサイトの裏側で動くプログラミング言語で、サーバー側の言語がわかっているサイトの 69.3% が使っています。WordPress も、ネットショップも、行政のサイトの多くも PHP で動いています。
この2件は、ログインしていない誰かが、インターネット越しにサーバー上で好きなプログラムを動かせてしまうというものです。深刻度は CVSS v4.0 で 9.2、区分としては最上位の「緊急」にあたります。乗っ取られれば、サイトの改ざんも、保存されている顧客情報の持ち出しも、他社への攻撃の踏み台にすることもできます。
技術的には、PHP が内部で使うメモリの扱いにある不具合です。CVE-2026-109618 はメモリ不足で処理が中断されたときに準備途中のデータが残ってしまうもの、CVE-2026-109619 は解放済みのメモリを指す状態がワーカーに残り、次のリクエストで使われてしまうものです。影響は PHP 5.4 から 8.5 まで、2012年以降のすべてのバージョンに及びます。
そして日本では、2026年10月21日の夜から22日にかけて、90のサービスが次々に止まりました。ただし、停止の事実だけでは、攻撃や侵害があったとは判断できません。この一覧には予防的な停止や緊急メンテナンスを含みます。PHPへの対応と明言していないサービスもあるため、個別の理由は各社の発表と各事例の注記を確認してください。国家サイバー統括室と高市首相も、すぐにパッチを当てられない場合の一時停止を有効策の一つとして挙げていました。
PHP は、アプリケーションのコードが動く前に、届いたリクエストの本文を自動で解析します。狙われるのはこの段階です。「アップロード画面を公開していないから関係ない」は成り立ちません。WordPress ならログイン画面もトップページも PHP です。PHP にリクエストが届く時点で対象になります。
PHP 公式は、Apache の mod_php で、アプリのコードが動く前に認証なしの攻撃が成立することを実証しました。PHP-FPM、php-cgi、LiteSpeed、FrankenPHP も更新の対象です。
公開された検証用プログラムを実際に動かすと、どこまでできるのか。「PHP2Shell」は本当に悪用できる？PoCと修正前後のPHPを検証で、3つの経路を手元の環境で試した結果を載せています。
認証やアカウントを必要としない
multipart/form-dataを処理する
メモリ不足による中断や、解放済みメモリの参照
Webサーバーの権限で実行される
修正版を当てた後も残るおそれがある
アプリのコードが動く前の段階PHPによるリクエスト解析が入口となる。CMSでも自作アプリでも、PHPに届く経路の確認が必要。
侵害された後の確認も必要修正版の適用と、すでに置かれたファイルや侵害の痕跡の調査は別の作業。
| 項目 | 内容 |
|---|---|
| CVE 番号 | CVE-2026-109618（OOM 処理の不備）／ CVE-2026-109619（古い内部状態の残存） |
| 深刻度 | 2件とも CVSS v4.0 で 9.2（Critical）。watchTowr は 10.0 と評価している |
| 影響するバージョン | PHP 5.4 〜 8.5 |
| 修正版 | 8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35（2026年10月21日 21:59 公開） |
| サポート終了版 | 8.1 以前に PHP プロジェクトからの更新はない。7.4・8.0・8.1 は最小限のソース修正のみで、自前のビルドが必要 |
| 影響規模 | 外部に出ている対象インスタンスは 2,260万件以上（Palo Alto Networks Unit 42 の推計） |
この2件を含む最新の脆弱性情報は、脆弱性の公表・更新一覧に新しい順で集約しています。製品名や CVE 番号で検索できます。
今回いちばん特徴的なのは、公表日より前に情報が漏れ、PHP が公表を前倒しせざるをえなくなったことです。本来の公表は10月22日の予定でした。
きっかけは3つ重なっています。現地時間の10月20日、日本時間では21日の未明に、掲示板の Hacker News へ「PHP のリモートコード実行の脆弱性2件が近く開示される」という書き込みが出ました。投稿は後に削除されています。その3時間後、セキュリティ企業の watchTowr が X で、エンバーゴ下の情報が漏れており、それが実在すると確認できると投稿しました。さらに、発見者の1社である Calif が、攻撃が成立することを示す実証動画を手違いで公開しました。
X での投稿は、漏れた情報が本物だと業界に伝えるもので、攻撃の手順や実証コードを公開したものではありません。同社 CEO は、本来 10月22日 午前11時（米東部時間）に公表される予定だったと説明しています。ハッカーがやり方を書いたのではなく、すでに漏れていた情報の真偽を確認して知らせた、という順番です。
それでも結果として、まだパッチがない状態で「本物の重大な穴がある」と世界中が知りました。PHP の予告には最初から「詳細が公になったり、実際の悪用が見えたりしたら前倒しする」と書かれており、この条件が満たされた形です。
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they’re real. CVE-2026-109618/619 We cannot share further information right now. Take this seriously and apply patches when available.
watchTowrの投稿をXで見る
木曜の米東部時間11時まで待つはずだった。PHP のエンバーゴ下にある0日脆弱性の情報が漏れている。本物だと確認できる。これ以上の情報はいま出せない。深刻に受け止めて、パッチが出たら当ててほしい。
同社はこの後、「我々が見つけたわけではない」とし、発見者である @calif_io と @lcfr_hax に功績があると投稿しています。
皆様に、今夜に対応して頂きたい大至急のお願いです。多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。（中略）修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
高市早苗の投稿をXで見る
首相が個別のソフトウェアの脆弱性について X で直接呼びかけるのは異例でした。表示は9,100万回を超えています。高市氏自身も、事務所のホームページを一時停止しています。
【注意喚起】2026年10月22日、PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619：PHP2shell）に関する件として、IPAが注意喚起をしています。ご確認ください。
国家サイバー統括室の投稿をXで見る
前夜の21時44分にも、パッチ適用とサイトの一時停止を呼びかける投稿を出しています。
なお、最初に書き込みをした Hacker News のユーザー名は petecooper で、10月22日に2件の脆弱性が公表されると書いていました。投稿はのちに削除されています。
最初の悪用の試行は、これよりさらに前に始まっていました。Amazon の MadPot が、情報の漏れた10月20日より前の10月17日に試行を検知しています。漏れる前から、知っている者がいました。
最初の悪用試行は10月17日。修正版が公開されたのは10月21日夜。
AWS MadPotが検知
投稿はのちに削除
技術的な詳細は公表していない
修正版公開の約9時間前
保護者向けアプリを含む全サービス
8.5.12・8.4.27・8.3.36・8.2.35
個別の再開状況は上の一覧を参照
なお、各社の告知が出そろう前、10月21日の夜の時点でわかっていたことはphp2shell で緊急メンテナンス相次ぐに残してあります。当時の見え方と、確定した事実を見比べる材料になります。
Amazon の MadPot が検知した。発信元は 103.216.220.92。情報が漏れる前から、知っている者がいた。
出典：AWSユーザー名 petecooper が、PHP のリモートコード実行の脆弱性2件が10月22日に開示されると書き込んだ。投稿はのちに削除された。
出典：Sansec / BleepingComputer / piyologエンバーゴ（公表日まで伏せる取り決め）下の情報が漏れており、実在すると確認できるとした。同社は詳細を公表していない。CEO の Benjamin Harris は、本来 10月22日 午前11時（米東部時間）に公表される予定だったと説明している。
出典：watchTowr の X 投稿発見者の1社が、攻撃が成立することを示す動画を手違いで公開した。
出典：Wikipedia（PHP2Shell）もともと「詳細が公になるか、実際の悪用が見えたら前倒しする」と予告に書かれていた。その条件が満たされた。
出典：PHP 公式公表の約9時間前。無料プランも対象。リクエストと応答の両方を見る方式を新たに導入した。
出典：Cloudflareコドモンが保護者向けアプリを含む全サービスを順次停止した。
出典：コドモンすぐにパッチを当てられない場合はサイトの一時停止も有効、とした。首相の投稿は表示9,100万回を超えた。
出典：高市早苗氏の X 投稿8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。GitHub の技術詳細は 22:34 に公開された。予告の23時より早い。
出典：php.netこの1時間だけで20件が停止・作業を開始した。
出典：本ページの集計総務省は11時18分に「一般のインターネット利用者の皆様に、特段の対応を求めるものではありません」と発信した。前夜の呼びかけはサイトを運営する側に向けたもの、という整理。
出典：JVN / 総務省pixiv は21日23:30、BASE は22日8:00、コドモンは3:22。レンタルサーバー各社も順次完了を告知した。
出典：各社の告知コードが動く権限は、Web サーバーのプロセスと同じです。そこから先は攻撃者の目的しだいで、過去の事案では次の形が繰り返されてきました。
| 被害の形 | 内容 |
|---|---|
| サイトの改ざん | 自社ドメインのまま、フィッシングや詐欺サイトの置き場に変えられる。ドメインの評判が落ちると、復旧後も検索とメールに影響が残る |
| 決済情報の抜き取り | 支払い画面に読み取りコードを差し込む手口。Sansec が EC 系で警戒を呼びかけている |
| 会員情報・社内文書の持ち出し | Web サーバーが読める範囲には、データベースの接続情報、アップロードされた書類、設定ファイル内の鍵まで含まれる |
| 社内への足がかり | 公開サーバーは社内側とつながっていることが多く、乗っ取られた1台が次の侵入口になる。ランサムウェアの前段として使われる |
| 居座り | 一度 webshell を置かれると、修正版を当てても残る。穴をふさぐ作業と、入られたかを調べる作業は別 |
Webサーバーと同じ権限が、次の行為に使われる。
自社ドメインが詐欺サイトの置き場になる
支払い画面に読み取りコードを差し込まれる
DBの接続情報、書類、設定内の鍵を読まれる
侵害された1台が次の侵入口になる
採掘や他社への攻撃の中継に使われる
国内では、10月22日の時点で悪用による被害は確認されていません。止めた判断が結果的に空振りに見えるかもしれませんが、止めた時点では、修正版が出る前から悪用の試行が観測されていました。実際に被害が確認された国内の事案は、国内サイバー攻撃の観測記録のほうで別に集計しています。
同じ夜に同じ脆弱性へ対応したのに、50分で終えた事業者と、翌日の夕方までかかった事業者がいます。分けたのは判断の速さではなく、事前にどこまで準備してあったかでした。
Value-domain 系（CORESERVER、VALUESERVER、XREA）は10月22日 0時から0時50分で完了し、告知に「お客様側での PHP バージョンの変更等のご対応は必要ございません」と書きました。さくらインターネットも、事前準備を組み込んでいたため利用者のサイトを長く止めずに終えています。更新手順が平時から用意されていた組です。
ニコニコは PHP 本体だけでなく関連ソフトウェアの更新も必要になり、翌日15時30分まで一部サービスが戻りませんでした。古い構成ほど、PHP を上げると周辺が動かなくなるため、復旧に時間がかかっています。エックスサーバーも、PHP 8.1 以下については自社独自の修正を作るところから始めました。
もうひとつ差が出たのが、告知の書き方です。管理画面を止めたことと、PHP を更新したことが別だった事業者が複数あります。止めた事実は、適用が終わった証拠にはなりません。委託先に運用を任せている場合は、ここを分けて確認する必要があります。
ここからは、自社サイトやサービスを運営している人、社内のシステムを見ている人に向けた手順です。PHP本体の脆弱性には修正版を適用し、そのうえで、穴をふさぐことと、すでに入られていないかを調べることは別の作業になります。最初の悪用試行が観測された10月17日から、修正版が公開された21日までの期間も調査対象になります。
修正が公開されたあとも、更新していない環境が残っているかぎり攻撃は成り立ちます。その考え方は「ゼロデイ」と「N-day」の違いと対処法で整理しました。
php -v は CLI のものです。Web を処理しているバイナリを見ます。ディストリのバックポートはバージョン表記が変わらないため、変更履歴で CVE 番号を確認します。
php-fpm8.3 -v zgrep CVE-2026-109618 /usr/share/doc/php8.3-common/changelog.Debian.gz rpm -q --changelog php-common | grep CVE-2026-109618
パッケージを更新しても、古いコードを抱えたワーカーが残っていると CVE-2026-109619 は有効なままです。プロセスの起動時刻がインストール時刻より後であることを確認します。
公開サイトと CMS（WordPress・Drupal・Joomla・Magento）、サーバー管理画面（cPanel・Plesk）、ベンダー製アプライアンスの内部、外部委託・ホスティング運用分。自社で把握していない PHP が最も危険です。
今回は、管理画面を止めたことと PHP を更新したことが別だった事業者が複数あります。止めた事実は、適用が終わった証拠にはなりません。
10月17日まで遡ります。POST に PHP_SESSION_UPLOAD_PROGRESS を含むもの、Allowed memory size exhausted や signal 11（segfault）、PHP ワーカーからのシェル起動、想定外のファイル追加・更新。
PHP 8.1 以前に PHP プロジェクトからの更新はありません。7.4・8.0・8.1 は最小限のソース修正のみで、自分でビルドする必要があります。更新できない機器は、ネットワークから到達できないようにします。
session.upload_progress.enabled = 0、memory_limit = -1、post_max_size を 8M〜32M、PHP 8.5 では fatal_error_backtraces = 0。nginx で multipart/form-data を一時的に拒否する方法もあります。いずれも .user.ini では間に合わないため、php.ini かプール設定に書き、ワーカーを再起動してください。
結論から書きます。今回の件を理由に、利用者側ですべきことはありません。パスワードの変更も、アプリの入れ直しも、特別な設定も不要です。
根拠は3つあります。
| 理由 | 内容 |
|---|---|
| 公的機関がそう言っている | 総務省は10月22日11時18分に「一般のインターネット利用者の皆様に、特段の対応を求めるものではありません」と発信しました。前夜の首相と国家サイバー統括室の呼びかけは、サイトを運営する側に向けたものという整理です |
| 直すのは利用者の側ではない | 脆弱性があるのはサーバーで動く PHP です。手元のスマートフォンやパソコン、アプリの側には穴がありません。利用者が自分で直せる箇所がそもそも存在しません |
| 情報が漏れた事実が確認されていない | 10月22日の時点で、国内で悪用による被害は確認されていません。漏れていないものに対してパスワードを変えても、守りは増えません |
そのうえで、やる意味があることが3つだけあります。
今後、特定のサービスで侵害が判明した場合、運営者からパスワードの変更やログインのやり直しを求める連絡が来ます。そのときは従ってください。先回りして全部変える必要はありません。
大きな事件のあとは、それに便乗した偽のお知らせが必ず出ます。本文中のリンクではなく、ブラウザのブックマークや検索から公式サイトに行って確認してください。
停止中のサービスについて、SNS の伝聞ではなく運営者の告知を見てください。このページの一覧には、各社が告知した再開の時刻を入れています。
php2shell の検証や対策をより詳しく扱った関連記事です。
公開されている検証用プログラムを手元の環境で動かし、修正前後の PHP を比較しました。3つの経路で確認した結果と、悪用が成立する条件をまとめています。
修正版が公開されたあと、更新していない環境に残り続けるリスクの話です。php2shell を例に、対策するときの考え方と確認の優先順位を整理しています。
2026年10月21日の夜、各社の告知が出そろう前に書いた速報です。当時わかっていた停止予定と、利用者・運用担当者の確認事項をまとめています。