PHPの緊急の修正を前に、国内のサービスで停止や緊急メンテナンスが相次ぐ さくら、Movable Type、シャドバ、BASEなど

Webサイトの裏側で動くプログラムを書くための言語「PHP」に見つかった緊急の脆弱性(セキュリティ上の弱点)2件が、日本時間2026年10月21日23時に修正される。これを前に、国内のサービスで、機能を止めたり緊急メンテナンスに入ったりする動きが相次いでいる。

なぜ一斉に止めるのか

PHPの開発チームによると、2件の脆弱性は、どちらも深刻さを表す共通の物差し(CVSS 4.0)で10点満点の9.2と、最も深刻な「緊急」にあたる。欧州連合の機関のCERT-EUは、ログインしていない攻撃者が外からサーバーでプログラムを動かせるおそれがあるとみている(PHPの脆弱性の記事)。

ITmedia NEWSによると、Web技術の使われ方を調べる米W3Techsの調べでは、サーバーで動く言語が分かっているWebサイトの約7割がPHPを使っている。ブログや企業のサイトづくりに広く使われる「WordPress」も、PHPで書かれている。修正版が出る前に攻撃されるのを防ぐため、PHPを使うサービスが、予防のために止めたり、修正をすぐに当てる準備をしたりしているとみられる。

各社の対応

各社の発表と報道をもとに、主な対応をまとめた。PHPとの関係は、各社の説明の仕方によって違う。

ITmedia NEWSによると、国家サイバー統括室も、修正版が出たらできるだけ早く対応するよう求めている。

かんたんに言うと

多くの家で使われている同じメーカーの鍵に、弱点が見つかった。鍵の交換部品は今夜23時に届く。部品が届くまでの間に空き巣に入られないよう、店によっては、いったんシャッターを下ろして待っている、という状態だ(TECHNOVAの見方)。

コドモンの停止については、コドモンの全サービス停止の記事にまとめた。

日本ではどうなるのか

止まっているのは、いずれも日本で多くの人が使うサービスだ。21日の夜から22日にかけては、ふだん使っているサービスが使えなかったり、一部の機能が止まったりすることがある。止まっている間は、各サービスの公式サイトなどのお知らせで、再開の時刻を確かめたい。

自分でWebサイトを運営している人は、23時の修正版の公開後、PHPをすぐに更新できるようにしておきたい。レンタルサーバを使っている場合は、サーバの会社がPHPを更新することが多いので、そのお知らせを確かめたい(TECHNOVAの見方)。

まとめ

PHPの緊急の脆弱性2件が日本時間21日23時に修正されるのを前に、国内のサービスで、機能の停止や緊急メンテナンスが相次いでいる。さくらインターネットやシックス・アパートはPHPへの対応だと公表し、ITmedia NEWSによると、シャドバやBASEなどもPHPの影響だという。コドモンなど、理由を明かしていないサービスもある。修正が行き渡れば、順に再開するとみられる。