昨夜、ネットで何が起きたのか
PHPの重大な欠陥をやさしく解説

01そもそも「PHP」とは何か

Webサービスは、レストランによく似ています。私たちが見ている画面は「客席」、注文を受けて料理を作るのは奥の「厨房」です。

PHP（ピーエイチピー）は、厨房（サーバー）で使われるプログラミング言語です。「ログインした人の名前を表示する」「注文を記録する」「メッセージを保存する」といった、画面の裏側の処理を担当します。こうした裏側で動く言語をサーバーサイド言語と呼びます。

どれくらい使われているのか

• 1995年に生まれた歴史の長い言語です。無料で誰でも使え、覚えやすく、安いレンタルサーバーでも動くため、世界中に広まりました。
• 調査会社W3Techsの2026年10月の集計では、裏側の言語が判別できたWebサイトのうち69.3%がPHPです。
• ブログやホームページ作成ソフトのWordPress（ワードプレス）、ネットショップ作成ソフトのEC-CUBEもPHPで作られています。会社のホームページの多くがこれで動いています。

02何が起きたのか（時系列）

時刻はすべて日本時間です。

03どんな欠陥だったのか

「脆弱性（ぜいじゃくせい）」とは

ソフトウェアの設計ミスやバグのうち、悪用されると危ないもののことです。「セキュリティ上の穴」と言い換えて構いません。

今回の穴：通称「php2shell」

レストランでいえば、「注文票に特殊な書き方をすると、厨房の料理人を外から自由に操れてしまう」状態です。厨房を乗っ取られると、次のような被害につながり得ます。

• 顧客情報や注文履歴を盗まれる
• ページを書き換えられ、偽サイトや詐欺ページに変えられる
• そのサーバーを踏み台にして、別の攻撃に使われる

技術的には、PHP本体のメモリ（作業机）の片付け方の不具合です。使い終わった机に前の作業の書類が残っていて、それを別の注文の処理で読んでしまう、という種類の不具合です。

04なぜ各社は「先にサービスを止めた」のか

修正版の公開は、攻撃者への「答え」の公開でもある

修正版が出ると、攻撃者は修正前と修正後を見比べて、どこが穴だったかを逆算できます。つまり修正版が出た直後こそ、一番攻撃されやすい時間帯です。

さらに今回は、管理番号が予定より早く出回り、攻撃の試みもすでに観測されていました（セキュリティ会社Cloudflareなどの報告）。

各社の判断

これが予防的な緊急メンテナンスです。Chatworkの告知も「PHPの重大な脆弱性への予防的な対策のため」となっています。

05高市総理の注意喚起

何を言ったか

• 10月21日 22時前、高市総理が自身のXで「今夜に対応して頂きたい大至急のお願い」として投稿しました。
• 内容は、自分たちのWebサイトでPHPを使っているかを確認し、修正版を可及的速やかに当てる準備をしてほしいというものです。
• さらに、すぐに修正を当てられない場合はWebサイトなどを一時的に止めることも、リスクを下げる有効策の一つだと述べました。
• 政府のサイバーセキュリティの司令塔である国家サイバー統括室も、同じ内容をXで呼びかけています。

なぜ「異例」なのか

総理大臣が特定のソフトウェアの欠陥について、SNSで直接対応を呼びかけるのは前例がほとんどありません。エンジニアの間では、おおむね好意的に受け止められています。

06物販・ネットショップをしている方への影響

物販をしている方にとっては、「売る場所」と「連絡する手段」が同時に止まった夜でした。

07ではなぜ、XやYouTubeは普通に使えたのか

一言でいうと、厨房で使っているレシピの書き方（言語）が違うからです。

「言語の違い」以外の差もある

正確には、次の4つの組み合わせで影響が決まります。

1. PHPを使っているか。使っていなければ関係ありません。
2. 使っているなら、外から注文を受け付ける部分で使っているか。社内の裏方だけなら危険は小さくなります。
3. 外側に「門番」がいるか。WAF（ワフ）という、怪しい注文票をはじく仕組みです。Cloudflareは21日未明に今回の攻撃をはじくルールを稼働させました。ただし門番は時間稼ぎで、根本の対策は修正版への更新です。
4. 会社の慎重さ。影響が小さそうでも念のため止めた会社もあれば、門番で十分と判断して動かし続けた会社もあります。

豆知識：Facebookは？

Facebook（Meta社）は、もともとPHPで作られた有名な例です。ただし今は、PHPを改良した独自言語「Hack（ハック）」と、独自の実行エンジン「HHVM」で動いています。今回の穴はPHPの標準エンジンの不具合なので、別エンジンなら影響を受けない可能性があります。ただし今回の件でMeta社の公式声明は確認できておらず、未確認です。

08よくある誤解・デマ

便乗詐欺に注意

こうした騒ぎの後には、便乗詐欺が出ます。「PHP脆弱性対策アプリをインストールしてください」「アカウントが危険です。こちらからパスワードを変更してください」といったメール・SMSのリンクは開かないでください。確認は必ず各サービスの公式サイト・公式アプリから行います。

09立場別：今やること

11今回の件から学べること

AIが広まった今、セキュリティの世界で言われていることが、昨夜ほぼそのままの形で起きました。ご自分のお店に置き換えながら読んでみてください。

12用語集

PHPピーエイチピー

Webサイトの裏側（サーバー）で動くプログラミング言語。世界のサイトの約7割が使用

サーバー

サービスの裏側で処理をするコンピューター。レストランの厨房

ブラウザ

ChromeやSafariなど、Webページを見るためのソフト。レストランの客席

プログラミング言語

コンピューターへの作業指示の書き方。PHP、Java、Pythonなど多数ある

脆弱性ぜいじゃくせい

悪用されると危ない、ソフトウェアの欠陥。セキュリティの穴

パッチ／修正版

穴をふさぐための更新プログラム

RCEアールシーイー

リモートコード実行。外から好きな命令を実行される、最も危ない種類の穴

CVEシーブイイー

脆弱性につける世界共通の管理番号

CVSSシーブイエスエス

脆弱性の危なさを0〜10点で表す物差し

WAFワフ

怪しいアクセスをはじく「門番」。時間稼ぎにはなるが根本対策ではない

緊急メンテナンス

予定外にサービスを止めて作業すること。今回は予防目的

WordPressワードプレス

PHPで作られたホームページ作成ソフト

国家サイバー統括室

政府のサイバーセキュリティの司令塔

確認できなかったこと

• 楽天RMSの停止時間と再開時刻（楽天の公式告知を見つけられず）
• Chatworkのメンテナンス終了時刻
• YouTube・Meta社の、今回の件に関する公式声明

出典（2026年10月22日に確認）

• PHP重大脆弱性の解説（ビジネス＋IT／Yahoo!ニュース）
• 高市総理「大至急、PHPパッチ適用を」Xで異例の要請（ITmedia NEWS）
• PHPの脆弱性発覚、高市首相「ウェブサイトの一時停止も有効」（日本経済新聞）
• プログラム言語「PHP」に重大弱点 高市首相、SNSで注意喚起（時事ドットコム）
• PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開（ITmedia NEWS）
• Chatwork公式Xの緊急メンテナンス告知
• 楽天市場が緊急メンテ、その他の企業サイト・サービスも続々メンテ（ケータイ Watch）
• 楽天ポイントモールの緊急メンテナンス告知
• 国内大手サービスで緊急メンテやサービス停止（Impress Watch）
• PHPの重大な脆弱性で緊急メンテナンス相次ぐ（日経クロステック）
• PHPの重大な脆弱性（PHP2Shell）情報の真偽と各サーバーの対応（SITE PICK）
• PHP2Shell、AIが見つけたPHPの重大脆弱性（innovatopia）
• kubell（Chatwork）バックエンドエンジニア求人票
• Twitter（X）のRubyからJava・Scalaへの移行（InfoQ）
• 23時以降のインターネット遮断の噂（Yahoo!リアルタイム検索まとめ）