【10/21】高市首相がPHP脆弱性で「大至急のお願い」｜php2shellとは、止まったサイトと今やること
高市早苗首相は2026年10月21日午後10時前、自身のXで、プログラミング言語「PHP」に見つかった重大な脆弱性（ぜいじゃくせい）について「今夜に対応して頂きたい大至急のお願い」と投稿し、修正プログラムをすぐ当てる準備を企業や自治体に求めました。修正版はその約1時間後に公開され、楽天市場やBASE、pixiv、ニコニコなど国内の多くのサービスが夜のうちに緊急メンテナンスに入りました。この記事では、首相の投稿の中身、脆弱性「php2shell」の仕組み、止まったサービス、サイトを持つ人が今やることを順に整理します。
この記事でわかること
- 首相の投稿：「大至急のお願い」の文言と、サイトの一時停止も有効策とした中身が分かります。
- 脆弱性の中身：CVE-2026-109618と109619の2件が、ログインなしで外からプログラムを動かされる恐れのある欠陥だと分かります。
- 止まったサービス：21日夜に緊急メンテナンスに入った国内サービスを表で確かめられます。
- やること：使うだけの人、サイトを持つ人、会社の担当者ごとに、今やることをまとめています。
目次
高市首相はXで何を呼びかけたか
高市首相は21日夜、PHPの修正パッチを公開と同時に当てられるよう準備し、難しければサイトを一時停止するよう呼びかけました。
ITmedia NEWSによると、投稿は21日午後10時前で、首相は「今夜に対応して頂きたい大至急のお願い」として、午後11時に公開される修正パッチを「可及的速やかに適用できる準備」をするよう求めました。日本経済新聞は同日午後10時31分の記事で、首相が修正プログラムの適用が難しい場合について、ウェブサイトの一時停止などが「リスクを低減させるための有効策のひとつだ」と述べたと伝えています。
首相が個別の脆弱性に触れるのは異例
首相がSNSで特定のソフトウェアの欠陥について直接対応を求めるのは異例で、技術者の間では評価する声が出ています。
ITmedia NEWSは、エンジニアから「総理が発信したことにより、経営層にもリスクが認知される」との声が出ていると伝えました。脆弱性の対応では、システムを止めると業務に響くため、パッチの適用が後回しにされることがあります。首相が「一時停止も有効策」と示したことは、止める判断を経営層が下す後押しになり得る、と同誌は書いています。
国家サイバー統括室も同じ内容で注意喚起
政府のサイバー安全保障の司令塔である国家サイバー統括室も、21日にXで同じ趣旨の注意喚起を出しました。
共同通信によると、国家サイバー統括室は修正プログラムを含めて速やかに対応するよう呼びかけ、政府関係者は「状況を注視している」と述べています。ITmedia NEWSも、同室が首相と同様の内容をXで発信していたと伝えています。
PHPの脆弱性「php2shell」とは何か
php2shellはPHP本体のメモリ管理の不具合2件の通称で、ログインなしで外からプログラムを動かされる恐れがあります。
PHP公式のセキュリティ告知（10月21日）によると、修正されたのは「CVE-2026-109618」と「CVE-2026-109619」の2件で、どちらも遠隔からのコード実行（RCE）につながるものです。ビジネス+ITは、2件の通称を「php2shell」と伝えています。
| 番号 | 何が起きるか | 起きうること |
|---|---|---|
| CVE-2026-109618 | メモリ不足の処理の途中で、初期化されていない内部データが後の処理で正しいものとして使われる | 遠隔からのコード実行 |
| CVE-2026-109619 | 解放したメモリを指す情報が残り、同じワーカーの次のリクエストで使われうる（Use-After-Free） | 遠隔からのコード実行 |
どちらも「ログインしていない第三者からの通信」が入り口になりうる点が、今回の危険の大きさです。
深刻度は「緊急」の9.2
危険度を数値で示すCVSS v4.0では、2件とも9.2とされ、最も高い区分の「緊急」に当たります。
PHP公式によると、9.2は10月20日の事前告知で付けられた値です。ビジネス+ITは、予定された情報公開より前に米国の掲示板「Hacker News」への投稿で存在が広まり、開示と修正が急がれたと伝えています。ITmedia NEWSも、修正版の公開前に情報がネットに流出し、攻撃の試み（PoC＝概念実証コード）が出回っていたと報じました。
危ないのはどんな環境か
Webの通信を受けるPHPの環境はすべて対象で、中でもApacheと一体で動かす「mod_php」が最も危険とされます。
PHP公式は、PHP-FPM、mod_phpを使うApache、php-cgi、FrankenPHP、LiteSpeedなどを対象に挙げ、mod_phpではアプリケーションのコードが動く前に、ログインなしのリクエストで攻撃できることが実証されているとしています。一方でビジネス+ITは、PHPを使う全サイトが「1回の通信で乗っ取られる」わけではなく、実際の危険は構成によって違うと注意を促しています。
修正版はいつ、どのバージョンで出たか
修正版は日本時間21日午後11時ごろに公開され、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。
ビジネス+ITとITmedia NEWSによると、PHPのセキュリティチームは20日に、21日14時（協定世界時、日本時間23時）に特別リリースを出すと予告し、予定どおり公開しました。首相の投稿は、この予告と公開の間の時間に出たことになります。
| 日時（日本時間） | 出来事 | 出典 |
|---|---|---|
| 10月20日 | PHPが2件の重大な脆弱性と、21日の修正版公開を予告 | PHP公式・ビジネス+IT |
| 10月21日 午後 | 国内のサービスが相次いで緊急メンテナンスを告知 | ビジネス+IT・ケータイWatch |
| 10月21日 午後10時前 | 高市首相がXで「大至急のお願い」 | ITmedia NEWS |
| 10月21日 午後11時ごろ | 修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開 | PHP公式・ITmedia NEWS |
PHP公式は、ほかに完全な回避策はなく、修正版への更新だけが安全な選択肢だとしています。
PHP 8.1以前はどうなるか
PHP 8.1以前の古い版には、PHPの開発元からは修正版が出ません。
PHP公式は、8.1以前を使っている場合は、修正を独自に提供している事業者に問い合わせるか、サポートが続いている版へ移るよう求めています。また、PHP 8.2のサポートは2026年12月31日に終わると明記しています。
国内で止まったサービスはどこか
21日夜は楽天市場、BASE、コドモン、pixiv、ニコニコなどが、緊急メンテナンスや一部機能の停止に入りました。
各社の停止の理由の説明は同じではなく、PHPの脆弱性への対応と明示したところと、そうでないところがあります（ビジネス+IT）。報道で確認できた主なサービスを表にまとめます。
| 分野 | サービス・組織 | 出典 |
|---|---|---|
| 通販 | 楽天市場、BASE | ケータイWatch・ITmedia NEWS |
| ゲーム | サイゲームズの「ウマ娘 プリティーダービー」「Shadowverse: Worlds Beyond」 | ITmedia NEWS |
| 動画・創作 | ニコニコ、pixiv | ケータイWatch・ビジネス+IT |
| 保育・業務 | 保育園向けサービス「コドモン」 | ITmedia NEWS |
| サーバー | さくらインターネット（機能の一部を停止） | ビジネス+IT・日本経済新聞 |
| 行政 | 財務省（関連するWebコンテンツを一時停止） | ビジネス+IT |
| スポーツ・通信 | 横浜DeNAベイスターズ、楽天モバイルの一部サービス | ケータイWatch |
再開の時刻は各社でばらばらで、この記事を書いた22日朝の時点では、すべての再開を確認できていません。使っているサービスの公式のお知らせで確かめてください。
なぜこれほど多くのサイトが止まったのか
PHPが世界のWebサイトのおよそ7割で使われ、通販やブログの土台に広く入っていることが背景の一つです。
ビジネス+ITが引くW3Techsの2026年10月の集計では、サーバー側の言語を判別できたサイトの69.3%がPHPを使っています。WordPressやEC-CUBE、Nextcloudなど、PHPの上で動く仕組みも多く、利用者が「PHPを使っている」と意識していないサイトにも影響が及びます。
3割強のサイトはサポートが終わった版
PHPを使うサイトのうち、7系と5系が合わせて約35%あり、少なくともこの分はサポートが終わった古い版です。
同じ集計で、PHPを使うサイトの版の内訳は8系が65.2%、7系が27.0%、5系が7.7%でした。8系の中にもサポートが終わった8.0と8.1が含まれるため、古い版のまま動いているサイトの割合は、さらに大きいとみられます（ビジネス+IT）。
首相の呼びかけをどう見るか
首相は修正版の公開前に、止める判断も含めた対応の物差しを国のトップとして直接示しました。
サイバー攻撃への備えは、これまで各社の情報システム部門や現場の判断に任されがちでした。今回は、首相と国家サイバー統括室が同じ趣旨の注意喚起を行い、修正版の公開前に「一時停止も有効策」という判断の物差しまで示しました。各社の緊急メンテナンスの告知は首相の投稿より前から始まっていたため、投稿がどこまで各社の判断を動かしたかは、報道の範囲では分かりません。
（編集部分析）サイバー空間の防衛は、国民の暮らしと経済を守る安全保障そのものです。インフラや通販、行政のサイトが一斉に狙われうる状況で、政府が「いま止めてよい」と明言したことは、経営者が損を恐れて対応を先送りする構図を断ち切る意味があったと評価できます。国が自国のネットを自ら守るという姿勢を、言葉だけでなく初動で示した形です。
（編集部分析）一方で、世界のサイトの7割が海外の開発者の集まりが作るPHPに頼り、日本の通販や行政も同じ土台の上にある現実も見えました。オープンソースは誰でも使える利点がある反面、土台の開発と保守を国外の体制に頼る構図には、依存のリスクがあると言えます。古い版を使い続ける3割強のサイトの更新を、補助や指導でどう後押しするかが、国のサイバー対策の次の課題と言えます。
今やること（立場別）
サイトを持つ人と会社の担当者は修正版への更新を急ぎ、使うだけの人はサービス側の告知を確かめるのが基本です。
PHP公式とビジネス+ITの内容をもとに、立場ごとにまとめます。
使うだけの人
サービスの緊急メンテナンスの告知を確かめ、不審なメールやログイン通知に注意する。パスワードの使い回しをやめる。
ブログやサイトを持つ人
レンタルサーバーの管理画面でPHPの版を確かめ、修正版（8.5.12・8.4.27・8.3.36・8.2.35）への更新や事業者の告知を確認する。
会社の担当者
mod_phpの環境を最優先で更新する。すぐ更新できないなら、首相が示したとおり一時停止も選択肢にする。8.1以前は移行を急ぐ。
PHP公式は、すぐに更新できない場合の緩和策として設定の変更をいくつか挙げていますが、「特定の攻撃経路を減らすだけで、環境を安全にするものではない」と明記しています。更新が終わるまでは安全になったと考えないことが大切です。
自分のサイトのPHPの版を確かめるには
レンタルサーバーを使っている場合は、管理画面の「PHPのバージョン」の設定欄で確かめるのが早道です。
WordPressを使っている場合は、管理画面の「ツール」から「サイトヘルス」を開くと、サーバーのPHPの版が表示されます。自分で更新できない契約の場合は、サーバー事業者の告知を確かめ、対応の予定を問い合わせてください。版を切り替える前にはバックアップを取り、使っているプラグインやテーマが新しい版に対応しているかを確かめ、切り替えたあとはサイトの表示と版の表示をもう一度見てください。
高市首相のPHP投稿についてよくある質問
Q. 首相の投稿は法律にもとづく命令ですか？
A. 報道の範囲では「お願い」として出された呼びかけで、命令や罰則を伴うものとは伝えられていません。国家サイバー統括室の注意喚起も、対応を求める内容です。
Q. スマホでアプリを使っているだけでも影響はありますか？
A. 欠陥はサービス側のサーバーにあるもので、利用者のスマホ自体が直接の対象ではありません。ただしサービスが侵入されると情報が漏れる恐れがあるため、各社の告知は確かめておくと安心です。
Q. 修正版を当てれば、それ以前に入り込まれた分も消えますか？
A. 修正版は欠陥の穴をふさぐもので、更新の前に入り込まれていた場合の後始末までは含みません。修正版の公開前に攻撃の試みが出回っていた（ITmedia NEWS）ため、不審なファイルやアクセスの記録がないかは、サーバー事業者や専門の業者に相談して確かめてください。
参考情報
- Security advisory: Critical remote code execution vulnerabilities, update now（PHP公式、2026年10月21日）
- Upcoming Critical PHP Security Release（PHP公式、2026年10月20日）
- 高市総理「大至急、PHPパッチ適用を」Xで異例の要請（ITmedia NEWS）
- PHPの脆弱性発覚、高市首相「ウェブサイトの一時停止も有効」（日本経済新聞）
- インターネット崩壊危機？PHP重大脆弱性でWebサイト緊急停止（ビジネス+IT）
- 楽天市場が緊急メンテ、その他の企業サイト・サービスも続々メンテ（ケータイWatch）
- 国家サイバー統括室、PHPの重大脆弱性に注意喚起（JAPANSecuritySummit Update）