高市首相も「大至急」、PHP欠陥でニコニコやpixivがサイト停止

10月21日、ウェブサイト作りに広く使われているプログラミング言語「PHP」の開発チームが、深刻な脆弱性（プログラムの欠陥で、悪用されると攻撃の入り口になる弱点）2件を修正した緊急アップデートを公開しました。

PHPはWordPressをはじめとする多くのサイト作成ツールの土台となっており、世界のウェブサイトの約7割で使われていると推計されています。今回の脆弱性は「PHP2Shell」とも呼ばれ、修正版は日本時間の同日23時ごろに配布されました。

2件の脆弱性（CVE-2026-109618、CVE-2026-109619）は、いずれもログイン不要で外部からサーバー上の任意のプログラムを動かせるリモートコード実行（RCE、遠隔からサーバーを操れる攻撃）につながるものです。原因はメモリ不足時やエラー発生時の内部処理の不備で、PHP 5以降の幅広いバージョンに長く潜んでいたとされます。

米連邦捜査局（FBI）は対象となる組織に速やかな更新を求め、すぐに更新できない場合はシステムをオフラインにするよう勧告。日本でも厚生労働省や消費者庁の一部、地方自治体、ニコニコ、pixiv、BASE、静岡銀行などが予防的にサイトを停止し、レンタルサーバー各社も緊急メンテナンスを実施しました。

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

— 高市早苗 (@takaichi_sanae) October 21, 2026

高市早苗首相は21日夜、自身のXで「大至急のお願い」として修正パッチの適用準備を呼びかけ、難しい場合はサイトの一時停止もリスクを下げる有効策の一つだとしました。首相が個別のソフトウェアの脆弱性について直接呼びかけるのは、異例の対応とされています。

2024年に兆候、修正は長期にわたり停滞

PHPの開発を支えるPHP Foundationは21日の公式ブログで、問題の兆候は2024年の外部セキュリティ監査の過程で見つかっていたと明らかにしました。当時は具体的な攻撃方法が確認できず、互換性などとの兼ね合いで修正方針がまとまらないまま、作業は数カ月にわたって中断と再開を繰り返したとしています。

2026年8月11日にセキュリティ企業のCalifが同じ原因による遠隔操作の実証を報告し、OpenAIも同様の問題を報告したことで、最優先の課題に引き上げられました。財団は一連の遅れについて、意思決定の仕組みと人手不足による「構造的失敗」だったと認めています。

公開直前には混乱も重なりました。20日ごろに脆弱性の番号がネット上に漏れたため、財団は修正版の公開を22日から21日へ1日前倒ししました。さらに報告者の一社であるCalifが攻撃の実演動画を誤って公開し、すぐに削除したものの複製が拡散したと財団は説明しています。

今回の騒動はインターネットの基盤を支えるオープンソースソフトウェア（誰でも無償で使える公開型のソフト）が、少人数の開発者と限られた資金で維持されている実態を浮き彫りにしました。一方で、AI企業も関わる調査によって長年眠っていた欠陥が短期間で表面化した点も注目されています。

財団は企業や政府に継続的な資金支援を呼びかけ、セキュリティ体制の強化を進める方針です。