世界中のウェブサイトに影響も。PHPに重大な脆弱性、AIが発見し緊急修正

ホームページや予約システムにも関係する問題。日本でも注意喚起

2026年10月21日、世界中のウェブサイトやオンラインサービスで利用されているプログラミング言語「PHP」に、重大なセキュリティ上の問題が見つかり、修正版が公開されました。

今回の問題は、AIを活用したセキュリティ調査などによって発見されたもので、日本の情報処理推進機構（IPA）も注意を呼びかけています。

PHPとは？

PHPは、ホームページやネットショップ、予約システムなど、さまざまなウェブサービスの裏側で動いているプログラミング言語です。

普段インターネットを利用している人が、PHPを直接操作することはほとんどありません。

しかし、私たちが日常的に利用するサービスを支える技術の一つです。

何が問題になったの？

今回確認されたのは、2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）です。

条件によっては、悪意のある第三者が、ログインなどの認証を受けずに、外部からサーバー上で不正なプログラムを実行できるおそれがあります。

PHPの開発チームは10月21日に修正版を公開し、利用者に速やかな更新を求めています。

AIが重大な問題の発見に貢献

今回注目されているのは、AIが脆弱性の発見に活用されたことです。

OpenAIは、AIモデル「GPT-5.6 Sol」を使った調査によって重大な欠陥を特定したと発表しました。

また、セキュリティ企業Wizも独立して脆弱性を発見・報告しています。

AIがソフトウェアの安全性向上に貢献する一方、同様の技術が攻撃に悪用される可能性も指摘されています。

私たちへの影響は？

今回の問題を受け、国内外では安全確認や修正対応のため、一部のウェブサービスを一時停止する動きも報じられています。

ただし、ウェブサイトが一時的に利用できないことと、実際にサイバー攻撃を受けたことは同じではありません。

安全確保のため、予防的にサービスを停止している場合もあります。

一般の利用者は、利用先の公式案内を確認しましょう。

また、ホームページや予約システム、ネットショップを運営する事業者は、必要に応じて管理会社やサーバー事業者に修正対応の状況を確認することが大切です。

編集部より

今回の問題は、普段は意識することの少ないウェブサイトの仕組みが、私たちの暮らしや仕事と密接につながっていることを改めて示しています。

サービスの一時停止は不便ですが、安全を守るために必要な対応である場合もあります。

編集部でも、引き続き公式情報を確認していきます。

※2026年10月23日時点の公開情報をもとに作成。

【10月23日追記】

PHPの重大脆弱性を狙う攻撃通信を確認。防御を回避しようとする動きも

10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」について、新たな動きが明らかになりました。

インターネットのセキュリティサービスを提供するCloudflareは、今回の脆弱性を狙った攻撃通信を実際に観測したと発表しました。

特に注目されるのは、攻撃者がセキュリティ対策の反応を確認しながら、攻撃に使用するデータを変更していたという点です。

Cloudflareは10月21日、無料プランを含む利用者向けに防御ルールを展開。通信内容に加えてサーバーからの応答も分析するなど、攻撃を検出するための対策を進めています。

また、セキュリティ企業Wizは、WordPress、Drupal、Joomlaを使用した検証環境で、ログインなどの認証を経ずに外部から不正なプログラムを実行できることを実証しています。

ただし、攻撃通信が確認されたことは、実際にウェブサイトへの侵入や個人情報の流出が発生したことを意味しません。

今回の発表から、被害件数や侵入成功件数までは確認できていません。

ホームページを運営する事業者は確認を

WordPressなどを利用している場合、サイト本体やプラグインの更新だけでなく、サーバー側のPHPが安全なバージョンに更新されているかも重要です。

レンタルサーバーやホームページ制作会社に管理を委託している場合は、対応状況を確認しましょう。

なお、Cloudflareなどによる通信の防御は、PHP本体の修正に代わるものではありません。

【10月23日追記】日本の財務省も一部サービスを停止――PHPの重大脆弱性、各国の行政サービスに影響

PHPの重大な脆弱性を受け、日本を含む各国の行政機関でも、ウェブサービスを一時的に停止する対応が行われています。

日本の財務省は10月21日、ホームページの一部コンテンツやサービスを、安全対策のため一時停止していると発表しました。

サーバーなどの緊急点検と修正プログラムの適用を進めるための措置です。

海外でも、次のような対応が確認されています。

• オランダ： 政府関連サイトを予防的に一時停止。行政情報サイト「Overheid.nl」、電子行政サービス「MijnOverheid」、電子認証サービス「DigiD」などが対象となりました。

• ラトビア： 複数の政府デジタルサービスについて、国外からのアクセスを一時的に制限。10月21日夜には一部サービスの利用再開も発表されています。

• 英国： 国家サイバーセキュリティセンター（NCSC）が緊急更新を勧告。修正や暫定対策が難しい場合には、システムの一時停止も検討するよう呼びかけています。

ラトビア当局は、国内で約6,000のシステムやサービスが潜在的に影響を受ける可能性があると説明しています。

サービスの停止は、必ずしも攻撃被害を意味しない

今回、各国政府が公表したサービス停止の多くは、サイバー攻撃による被害ではなく、被害を未然に防ぐための予防的な安全対策です。

脆弱性が見つかった場合、修正が完了するまでサービスを一時停止することも、利用者の情報を守るための選択肢となります。

こうした対応は行政機関だけでなく、地域の企業や店舗が利用するホームページ、ネットショップ、予約システムにも関係します。

一時的にサービスが利用できない場合は、運営元の公式案内を確認しましょう。

【10月23日追記・重要続報】

PHP脆弱性の兆候は2024年に把握――修正が進まなかった背景をPHP財団が説明

今回のPHPの重大な脆弱性について、新たな事実が明らかになりました。

PHPの開発を支援するPHP Foundation（PHP財団）は10月21日、問題の発見から修正までの経緯を公式に説明しました。

実は、AIによって重大な攻撃経路が明らかになる約2年前、2024年の時点で、開発者が同じ根本原因につながる問題の兆候を把握していたということです。

ただし、当時から今回のような遠隔攻撃の危険性が具体的に確認されていたわけではありません。

なぜ修正が進まなかったのか

PHP財団の説明によると、修正によって既存のシステムに影響が出る可能性があったことや、技術的な難しさ、専門人材の不足などが対応を遅らせる要因となっていました。

その後、2026年8月にはAIを活用した調査によって重大な問題が報告され、追加の攻撃経路も明らかになりました。

そして10月21日、PHPの修正版が正式に公開されました。

PHP財団は今回の経緯を踏まえ、セキュリティ対応の体制を強化する方針を示しています。

AIが発見しても、修正する仕組みが必要

今回の事案は、AIがソフトウェアの問題を発見する能力を高めている一方で、実際の修正には人間の専門家や開発体制、適切な意思決定が欠かせないことを示しています。

地域の企業や自治体が利用するウェブサービスも、こうしたソフトウェアの継続的な開発と保守によって支えられています。

なお、2024年の段階で今回の危険性が完全に把握されていたわけではなく、当時修正していれば今回の混乱を確実に防げたとまでは断定できません。

参考資料

• PHP Foundation公式｜今回のセキュリティ更新と今後の体制強化について