【緊急】PHPの重大な脆弱性で国内サービス停止が相次ぐ｜サイト運営者の確認事項

WEBサイトやシステムを動かすプログラミング言語「PHP」に、外部から攻撃されるおそれのある重大な脆弱性（システムの弱点）が見つかり、2026年10月21日、PHPの開発元が「ただちに更新を」と呼びかけました。修正版はすでに公開されていますが、各サイトのPHPに反映されているとは限りません。

国内でも、コドモン、カラーミーショップなどが、被害の確認を待たずにサービスを止めています。自社のサイトやシステムは関係があるのか、何をすればよいのか、気になっている方も多いのではないでしょうか。

なお、PHPはWordPressをはじめ、WEBサイトや業務システムの裏側で広く使われているプログラミング言語です。そのため、WordPressで作ったサイトや、PHPで動く業務システムを持つすべての企業に影響が及ぶ可能性があります。

本記事では、2026年10月21日23時台に確認できた公式の情報をもとに、状況と、サイト運営者や企業が自社への影響が分かる前の今のうちに確認することを解説します。公式サイトのリンクは、巻末の表にまとめています。

何が起きたか：PHPの重大な脆弱性と、国内サービスの予防停止

PHPの開発元であるThe PHP Groupは、2026年10月21日付のセキュリティ告知で、2件の重大な脆弱性を修正したと公表しました。どちらも、ログインしていない第三者から、リモートコード実行（外部から、サーバー上で攻撃者のプログラムを実行されること）につながる可能性があります。告知は、すべてのPHP利用者にただちに更新するよう求めています。

IPA（情報処理推進機構）も同日、注意喚起を出しました。IPAは、この脆弱性を悪用した攻撃は確認していないと明記したうえで、攻撃者は修正プログラムの公表後、極めて短時間で攻撃を行う可能性があると述べています。

この状況を受けて、国内の事業者が2026年10月21日23時に確認できた時点でも予防的にサービスを止めています。各社の公式告知から確認できた範囲は、次のとおりです。

レンタルサーバーでも、10月21日に緊急メンテナンスの告知が出ています。さくらインターネットはレンタルサーバーとVPSを、ConoHa WINGはサーバーを対象にしています。なお、2社の告知にPHPの記載はないため、契約中の方は、理由を推測せず、各社の告知で確認しましょう。

表のうち、コドモン、カラーミーショップ、ココペリの3社は、被害の確認を待たずにサービスを止めています。みんなシステムズも、更新作業のために停止する可能性を案内しています。つまり、サービスを止めてでも更新を急ぐほど、事業者がこの脆弱性を重く見ているのです。

誰が影響を受けるか：PHPで動くサイトとシステム

PHP公式の告知によると、リスクがあるのは、閲覧者からのアクセスを受けるWEBサイトやシステムの裏側で、PHPが動いている環境です。自社サイトだけでなく、EC、予約、顧客管理、業務システムなど、PHPで動くものが対象になり得ます。

見落としやすい点は、次の3つです。

自社でPHPを管理していなくても、利用中の製品やサービスの中でPHPが動いている場合があります。IPAは、製品の中でPHPが使われていないか、マニュアルや開発元の情報で確認するよう案内しています。

サイト運営者が今すぐ確認・対応すること

公式の案内をもとに、次の順で確認します。

暫定策やWAFの効き目は、構成や設定、提供する事業者の対応によって変わります。更新の代わりにも、公開を続ける根拠にもなりません。使うなら、更新までのつなぎと割り切り、効果は提供事業者に確認したうえで、更新の予定を決めておくことが前提です。

修正の公表後、攻撃者は極めて短時間で攻撃を行う可能性がある、というのがIPAの指摘です。更新が可能になったら、後回しにせず、すぐに取りかかりましょう。

企業・DX担当者の点検項目：棚卸し・連絡・停止の判断

PHP公式は、すでに修正版を公開しています。ただし、各サイトのPHPが修正版になるには、サーバー会社や管理担当者による更新が必要です。公式の案内をもとに、次の順で確認します。

コドモンのように、止める際に再開の見込みを公式サイトで案内する事例もあります。止める判断だけでなく、止めたあとの案内まで決めておくと、顧客の混乱を抑えられます。

まとめ：影響が分かる前の今、更新の担当と段取りを確かめる

PHPの重大な脆弱性をめぐり、2026年10月21日の夜、国内のサービスで停止や緊急メンテナンスの告知が相次ぎました。

2026年10月21日23時台の時点で確認できている事実は、PHPの開発元が重大な脆弱性2件を修正し、すべての利用者にただちに更新を求めていること、国内の複数のサービスが、被害の確認を待たずに予防停止していることです。自社への影響がまだ見えない今のうちに、備えを始めてください。

今すぐ対策するべき内容は次の3点です。

貴社のサイトやシステムは、PHPで動いているでしょうか。管理しているのは誰でしょうか。まずは、この2つを確かめるところから始めてみましょう。

状況は変わり続けます。最新の状況は、公式サイトで確認してください。公式サイトへのリンクを、次の表にまとめます。