PHPの重大な脆弱性で高市首相が異例の呼びかけ｜サイト運営者と利用者がやることは?【2026年10月】

「忙しい人向け」ニュース要約

---

• PHPの重大な脆弱性2件の修正版が10月21日に公開された
• 高市首相がXで「大至急のお願い」と、PHP利用の確認と修正の適用準備を呼びかけた
• 修正版は 8.5.12・8.4.27・8.3.36・8.2.35。難しければ、サイトの一時停止も有効
• BASE・pixiv・DMMなどが緊急メンテナンスに入った。一般の利用者は復旧を待つのが基本

※相場やニュースの日々の見方は、水野のX(@mizuno_ichizen)で発信中です。

何が起きたのか｜PHPの重大な脆弱性2件と、前夜からの動き

PHPは、WebサイトやWebアプリケーションの裏側で広く使われているプログラミング言語です。WordPressをはじめ、多くのCMSやネットショップ、会員サイトの土台になっています。

2026年10月21日、PHPの公式サイトは「Security advisory: Critical remote code execution vulnerabilities, update now」と題した注意喚起を掲載しました。認証なしの遠隔コード実行(RCE)につながり得る2件の重大な脆弱性を修正した、という内容です。PHP公式サイトの注意喚起に、対象と回避策が書かれています。

項目	内容(PHP公式の注意喚起より)
CVE-2026-109618	メモリ不足(OOM)の処理中にPHPが中断され、リクエストの内部データが一部しか初期化されていない状態になる。後続のクリーンアップ処理が、不正なデータを正しいものとして扱ってしまう
CVE-2026-109619	リクエスト固有の内部状態が、裏付けのメモリが解放された後も残る。同じワーカーが処理する後続のリクエストが、初期化される前にその古い状態を使ってしまう
影響を受ける範囲	Webリクエストを処理するPHP全般。PHP-FPM、Apache(mod_php)、php-cgi、FrankenPHP、LiteSpeedを含む。公式は、mod_phpが最もリスクが高いとしている(認証なしのリクエストだけで、アプリのコードが動く前に攻撃が成立する実証があるため)
修正版	PHP 8.5.12、8.4.27、8.3.36、8.2.35
8.1以前	PHPプロジェクトの更新対象外。ディストリビューションやLTSベンダーが修正を提供する場合がある。今回は重大性を踏まえ、PHP 7.4・8.0・8.1向けに最小限のソースバックポートも提供された

ITmedia NEWSによると、2件ともに認証なしで遠隔から任意のコードを実行される恐れがあり、修正版の公開前に情報が漏れ、攻撃の実証コードが出回っていたと伝えられています(出典:ITmedia NEWS)。

高市首相のXの呼びかけ｜何と言ったのか

21日の日本時間21時55分ごろ、高市早苗首相が自身のXアカウントで、この脆弱性への対応を呼びかけました。投稿は次のとおりです。

投稿の要点は、次の3つです。出所は首相本人のX投稿です。

要点	投稿の内容
1. 確認	公開しているウェブサイトで、PHPを使っているか確認してほしい
2. 準備	日本時間10月21日23時に公開される修正パッチを、可及的速やかに適用できるよう準備してほしい
3. 難しい場合	速やかに適用することが困難なら、ウェブサイト等を一時的に停止させることも、リスクを低減する有効策の一つと考えられる

投稿は国家サイバー統括室のXアカウントの情報も参考にするよう案内しています。同室は21日、更新プログラムを可及的速やかに適用するよう呼びかけ、対応しなければWebサイトが侵害されるおそれがあると説明しました(出典:JAPANSecuritySummit Update)。

首相が個別のソフトウェアの脆弱性について、Xで直接対応を呼びかけるのは異例だと伝えられています。エンジニアの間では、首相の言葉が経営層にリスクを伝えやすくしたと評価する声が出ています(出典:ITmedia NEWS)。

時系列｜公式発表から、各社の緊急メンテナンスまで

日時(日本時間)	出来事	出典
10月21日	PHP公式サイトが、重大なRCE脆弱性2件の注意喚起を掲載(首相の投稿によると、修正パッチは同日23時公開の予定)	PHP公式・首相X
10月21日 20時過ぎ〜	BASE、コドモン、pixiv、DMM、niconico、さくらインターネットの一部サービス、一部ゲームなどが緊急メンテナンス・一時停止に入ったと報道	Impress Watch
10月21日 21時55分	高市首相がXで「大至急のお願い」を投稿	首相X
10月21日 23時ごろ	修正版(8.5.12・8.4.27・8.3.36・8.2.35)が公開される	PHP公式・報道
10月21日(公表時点)	米CISAが、直ちに適用するよう注意喚起。悪用は公表時点で確認していないとした	CISA
10月21日〜22日	一部の自治体もシステムの一時停止を予告したと報道	Impress Watch

停止した各社の具体的な理由は、報道では「パッチ公開後の攻撃に備えた予防的な措置」と伝えられています(出典:Impress Watch)。各社の公式案内を確認したものではないため、サービスごとの詳しい事情は、各社の発表をご確認ください。

現状の国内主要仮想通貨取引所の状況｜稼働状態・声明・メンテナンス

暗号資産の取引所は、Web画面やお知らせページにPHPを使っているとは限りません。ここでは、2026年10月22日12時50分ごろ時点で、各社の公式お知らせ・ステータスページから確認できた範囲を整理します。確認できなかった項目は、確認できなかったと明記します。

取引所	公式で確認できた内容	PHP脆弱性への言及
SBI VCトレード	10月22日付で「PHPの脆弱性への対応完了について」を掲載。「2026年10月21日に公表されたPHPの脆弱性について、必要なセキュリティ対策を実施し、対応を完了」と案内(公式お知らせ)。なお、10月21日13時〜17時の定期メンテナンス(継続的なシステム安定化対応)は事前告知のもので、内容は別(公式お知らせ)	あり(対応完了を告知)
Coincheck	お知らせページの冒頭に、10月23日1時〜7時のメンテナンス(サービスの安定性向上を目的とし、全サービス・機能が利用不可)を告知。PHPとの関係は記載なし(公式お知らせ)	なし
bitFlyer	公式ステータスページでは、10月21日4時〜4時30分の定期メンテナンス(PHPの公表前)の後、10月22日は障害の報告なし。取引サービスは稼働中の表示(bitFlyer Status)。公式サイトのお知らせの直近は10月15日付で、PHPに関する掲載は確認できない	なし
bitbank	お知らせの直近は10月20日付の「Solanaネットワークにおける入出金の一時停止」(Solanaのネットワーク更新に伴うもの)など。PHPに関する掲載は確認できない(公式お知らせ)	なし
GMOコイン	お知らせの直近は10月21日付の、コスモス(ATOM)のアップグレード、ザ・サンドボックス(SAND)・チリーズ(CHZ)・ファイルコイン(FIL)の取引サービス終了(10月24日)。PHPに関する掲載は確認できない(公式お知らせ)	なし
OKJ	お知らせの内容を、当編集部では読み取れなかった	確認できず

SBI VCトレードのお知らせは、短い案内にとどまり、停止の有無や具体的な作業内容は書かれていません。同社は10月22日付で、SBI VISAクリプトカードの新規申込受付の一時停止も案内しています。理由は、カード会社のアプラスがWeb入会サービスを停止したためと書かれており、PHPとの関係は記載されていません。

Coincheckの10月23日のメンテナンスは、お知らせ上は「サービスの安定性向上」が目的です。PHPの脆弱性に関する記載は確認できないため、今回の件と結びつけて読むことはできません。

取引所の公式お知らせに言及がないことは、影響がないことや、対策が未実施であることを示すものではありません。外から分かるのは、告知の有無だけで、理由までは分かりません。考えられる状況は、次のとおりです。

状況	見え方
公開サイトでPHPを使っていない、または影響を受ける構成ではない	告知は出ない
更新を済ませ、利用者への影響がないため告知していない	告知は出ない
対応中だが、まだ告知していない	今後、告知が出る可能性がある
対応完了を告知した(SBI VCトレード)	お知らせに掲載される

ご利用の取引所の状況は、公式サイトの「お知らせ」や公式アプリでご確認ください。メールやSNSのリンクから確認しないようにしてください。本記事は、各社の告知が出た時点で更新します。

サイト運営者がやること｜確認、更新、難しければ停止

対応の中心は、サーバーで動いているPHPのバージョンを確認し、修正版に更新することです。WordPressなどのCMS本体を最新にしても、サーバー側のPHPが古いままだと、今回の脆弱性は直りません。

状況	やること
PHPのバージョンが分かる(自分でサーバーを管理)	php -v などで確認し、8.5.12・8.4.27・8.3.36・8.2.35のいずれかに更新。更新後はPHPのワーカー(PHP-FPMなど)を再起動する
レンタルサーバー・マネージドホスティング	事業者のお知らせを確認。管理画面からPHPのバージョンを切り替えられる場合は、事業者が案内する修正済みバージョンを選ぶ
制作会社・外部業者に運用を任せている	PHPのバージョンと、修正の適用状況を問い合わせる
8.1以前を使っている	開発元の更新対象外。ディストリビューションやLTSベンダーの修正を確認するか、新しいバージョンへ移行する
すぐに更新できない	公式は、完全な解決は更新のみとしたうえで、暫定策も案内している(設定の例は、公式の注意喚起を参照)。CISAは、更新できない場合や8.1以前の場合、システムをオフラインにすることを求めている

CISAは、PHPを組み込んだほかのソフトウェアにも気づきにくく存在することがあるとして、まず自社のどこでPHPが動いているかの棚卸しを推奨しています。攻撃されていないかの監視として、PHPのワーカープロセスがシェルを起動したり、ツールをダウンロードしたりしていないかを見るよう挙げています(出典:CISA)。

暫定策の具体的な設定値(メモリ制限や、アップロード進捗の無効化など)は、環境によって影響が異なります。公式は「暫定策は特定の攻撃経路への露出を減らすだけで、安全にはならない」としているため、設定をいじる前に更新を最優先にしてください。

一般の利用者へ｜サイトが止まっていたら、何をすればよいか

サイトを持っていない一般の利用者が、今回のためにやるべき特別な作業は、報道や公式発表の範囲では示されていません。

場面	考え方
お気に入りのサービスが緊急メンテナンス中	復旧を待つ。公式サイトや公式SNSの案内を確認する。メンテナンス中は、ログインや購入を無理に試さない
不審なメールやSMSが届いた	この件に乗じた偽の案内が出る可能性がある。リンクは開かず、公式アプリや、自分で検索した公式サイトから確認する
利用中のサービスが不正アクセスを発表した	公式の案内に従う。パスワードの変更などは、そのサービスが指示した場合に行う

偽の案内への注意は、今回の件に便乗した詐欺が確認されたという報道があるからではありません。大きなニュースの直後にフィッシングが増えるのは一般的な傾向であるため、念のため記しています。

ICHIZEN視点｜暗号資産には関係ない話に見えて、実はつながる

暗号資産のサービスは、Web画面とチェーン上の処理が別々に動いています。Web側の脆弱性が直接ブロックチェーン上の資産を動かすわけではありません。ただし、取引所のログイン画面や管理画面がサイバー攻撃を受ければ、利用者のアカウントや個人情報に影響が出ることはあり得ます。

だからこそ、自分が使っているサービスの公式案内を日ごろから確認する習慣が大切です。取引所からの案内は、公式サイトや公式アプリで確認し、メールやSNSのリンクから入力しないようにしてください。

まとめ

今回の特徴は、技術の世界の話だった脆弱性対応が、首相の言葉で経営や運営の判断として語られたことです。自分のサイトの裏側でPHPが動いているかを確かめることが、最初の一歩になります。

状況は更新されています。最新の対応は、PHP公式サイトと、国家サイバー統括室の発信をご確認ください。

参考文献
・PHP公式サイト「Security advisory: Critical remote code execution vulnerabilities, update now」(2026年10月21日)
・高市早苗首相「X投稿」(2026年10月21日)
・CISA「Critical Vulnerabilities in PHP Require Immediate Patching」(2026年10月21日)
・JAPANSecuritySummit Update「国家サイバー統括室、PHPの重大脆弱性に注意喚起」(2026年10月22日)
・ITmedia NEWS「高市総理「大至急、PHPパッチ適用を」Xで異例の要請」(2026年10月22日)
・Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」(Yahoo!ニュース配信)

※本記事は、PHP公式サイトの注意喚起、高市首相のX投稿、CISAの注意喚起、報道に基づく2026年10月22日時点の情報です。X投稿の閲覧数・各社の対応状況は変動します。サービス停止の理由は報道による説明で、各社の公式発表を個別に確認したものではありません。
※暫定策の設定や更新作業は、環境により影響が異なります。実施前にバックアップと、事業者・専門家への確認をおすすめします。

※当サイトの情報は一般的な情報提供を目的としており、個別のシステムの安全性を保証するものではありません。