PHPの脆弱性（ぜいじゃくせい）をめぐる騒ぎは、修正版が出て一夜明けたいまも、一般人は何をすればいいのか、という声が止まりません。

PHPはウェブサイトの裏側を動かしているプログラムで、脆弱性はセキュリティの穴のこと。

その穴をふさぐ修正版は日本時間の10月21日23時に出ると予告され、それまでのあいだ外から狙われないよう、入口を閉じる形で、昨夜はゲームから銀行のアプリまで一斉にメンテナンスに入りました。

スマホで使うだけの人が、いま自分の手で直すものは、ほとんどありません。

ただ、一般の人にも宿題は残っていて、手をつける先は昨夜止まった有名なサービスではなく、何年も前に登録したまま忘れているサイト。

今回は、一夜明けたPHPの騒ぎの現在地と、昔の登録が危ない理由、一般の人にできることを、わかりやすく解説していきます。


PHP脆弱性で被害は出たのか

修正版が実際に出たのは、予告の23時より少し早い、21日の22時半すぎでした。

もともとは22日に出す予定だったものを、穴についての情報が修正前に外へ出てしまったために、21日へ前倒ししたと、PHPの開発を支える団体は説明しています。

穴をつかれると、ログインしていない外の誰かが、サーバーの上で好きなプログラムを動かせてしまうおそれがあるとのこと。

日本ハッカー協会の杉浦隆幸代表理事は、TBSの取材に「攻撃が成功しますと、サーバーを乗っ取ることができるほか、データを盗んで、さらに暗号化することも可能」と話していました。

 

備えのために止まったのは、ゲーム会社から銀行、自治体、大学まで。

セキュリティの情報をまとめているブログのpiyologは、22日の午前1時台までに各社の告知で確かめられた範囲だけで、211の組織を数えていました。

日付が変わるころから少しずつ再開が始まり、明け方には「修正版を適用し、現在はすべての機能をご利用いただけます」と知らせる会社も出てきています。

piyologのまとめでは、22日の朝にはレンタルサーバー大手のさくらインターネットがサーバー側のPHPの更新を6時30分に終え、同じくレンタルサーバーのエックスサーバーも修正を当て終えたとのこと。

それでも利用者向けの管理画面などを止めたままの会社もあって、戻り方はまだばらばらです。

 

では、心配された攻撃はどうなったのでしょうか。

海外のセキュリティ会社からは、攻撃の試みがもう始まっているという報告が相次いでいて、攻撃を誘うために置いた自前のおとりのサーバーが実際に狙われた、と発表した会社もあります。

いっぽうで、修正版が出た直後に見えたのは様子をうかがう探りの通信だけで、入り込まれた確かな証拠はまだないとする会社もありました。

アメリカ政府のサイバー機関CISAも、21日の注意喚起の時点では悪用を確認していないとしていて、悪用が確かめられた穴を載せるCISAの一覧にも、22日の朝の時点では入っていないとのこと。

狙う動きは出ているものの、各社のお知らせや報道を見たかぎり、国内で被害を公表した会社は、22日の昼前の時点で見当たりません。

メンテナンスが始まる前から、こんな声があちこちで上がっていました。

この問いには、半分まではイエスと答えられます。

穴があるのは、サイトを動かしているサーバーの中。

だから、使う側のスマホには、もともと入っていないんです。

アプリを消しても、スマホの電源を切っても、この穴には何の関係もありません。

残りの半分を言い切れないのは、穴をふさぐ修正版が、世の中のすべてのサイトに届くとはかぎらないため。

 

修正版が届かないまま残るサイト

使う側にとって気になるのは、ふだん自分が触れているサイトが、直してもらえる側にいるかどうかです。

今回の修正版が用意されたのは、いま開発チームが面倒を見ている新しい版だけ（8.2〜8.5）でした。

それより古い版には、ふつうの修正版がありません。

専門の技術者が自分で当てるための最小限の直しがあるか、直しそのものが無いかのどちらか。

しかも穴を見つけた研究チームは、ずっと前の古い版まで含めて、PHPのほぼすべての版が影響を受けるとしています。

サーバーの会社が古い版に独自の直しを用意していることもあるので、古いから必ず危ない、とまでは言い切れません。

それでも、直しを当てる人がいなければ、穴は開いたまま。

CISAも21日の注意喚起で、すぐに更新できない組織や、サポートの終わった古い版（PHP 8.1以前）を使い続けている組織に、直せるまでPHPで動くシステムをネットから外すよう求めていました。

 

そして、その穴の向こうにあるのが、利用者が預けた情報です。

研究チームは、サーバーを乗っ取るところまでいかなくても、パスワードのような秘密の情報をログインなしで読み出せることも示していました。

ネットでは、そんな話を聞いても、直すのは会社だろう、という声も。

それはその通りで、昨夜メンテナンスに入った会社は、まさにその仕事をしていました。

気がかりなのは、直す担当がもういないサイトや、直す必要があることに誰も気づいていないサイトです。

何年も前のキャンペーンで作られた応募ページ、更新の止まった小さなお店の会員ページ、昔の趣味の掲示板。

こうした場所は、止まったのか、直したのかを、外から確かめる手立てがありません。

22日の朝には、同じところを心配する投稿も読まれていました。

そうした場所に、昔あなたが登録した名前やメールアドレス、パスワードが、いまも眠っているかもしれないんです。


情報が漏れたら知らせが来るのはいつか

では、もしどこかで情報が漏れていたら、使う側はどうやってそれを知るのでしょうか。

個人情報保護法は、不正アクセスなどで個人データが漏れたり、漏れたおそれがあったりしたとき、会社に国の個人情報保護委員会への報告と、本人への通知を義務づけています。

委員会のページには、報告の期限が数字で書かれていました。

  • まず速報（分かったところまでの第一報）を、発覚日から3〜5日以内
  • 次に確報（調べ終えたあとの報告）を、発覚日から30日以内
  • 確報は、不正な目的で行われたおそれがある場合だけ、発覚日から60日以内

3つとも、数え始めは「発覚日」です。

会社が気づかないかぎり、知らせの期限は始まりもしません。

21日の夜にサービスを止めて、いまサーバーの記録を調べている会社は、自分から気づきにいっている側。

止めた会社の裏では、夜通し対応に追われた人もいました。

でも、誰も見ていないサイトでは、たとえ入り込まれても、それに気づく人がいないまま。

知らせが来ないことは、漏れていないことの証明にはなりません。

しかも本人への通知には、委員会への報告と違って、何日以内という数字の期限が付いていないんですよね。

個人情報保護委員会が定めた規則にあるのは「当該事態の状況に応じて速やかに」という言葉だけ。

だから昔の登録は、知らせを待つより、自分から探しにいくほうが早いんです。

 

受信箱から始める3つの手

メンテナンスが続いた夜には、こんなふうに慌てた人もいました。

いま毎日使っている大きなサービスのアカウントを、慌てて消す必要はありません。

消すなら、昔登録して忘れているほうです。

  • 忘れている登録を探して、使わないものは退会する
  • 使い回しているパスワードを、メールとお金のサービスから切り離す
  • お詫びや再設定のお願いのメールは、リンクから開かない

1つ目は、忘れている登録探し。

探し方は、メールの受信箱で「会員登録」や「ご登録ありがとうございます」と検索するだけ。

何年も前の登録完了のメールが並んで、こんなところにも名前を預けていたのかと驚くかもしれません。

見つけたら、使っていないものは退会しておくと、そこに預けたままの情報を減らせます。

 

2つ目は、パスワードの使い回し。

忘れているサイトのパスワードが、いま使っているメールやネット銀行と同じなら、古いサイトが入口になってしまいます。

ただ、全部を一度に変えるのは大変なので、変えるならメールとお金にかかわるものから。

あわせて、ログインのときにスマホへ届く番号でも本人かを確かめる、2段階認証も設定しておくと安心です。

どれが使い回しなのか思い出せない人は、iPhoneやAndroidに保存しているパスワードの一覧を開いてみてください。

使い回しや、漏れたことが分かっているパスワードに印をつけて知らせてくれる機能があります。

 

3つ目は、この騒ぎに便乗した詐欺。

21日の夜には、こんな予想が広く読まれていました。

スマホが無事か調べるからIDやパスワードを入れて、という誘いも、守るためのソフトを入れて、という誘いも、PHPの穴とは関係がありません。

これから、「お詫び」「パスワード再設定のお願い」のように、本物の知らせとそっくりの形のメールやSMSが届くことも考えられます。

届いたリンクは押さずに、公式アプリやブックマークから開いて、同じお知らせが出ているかを確かめてください。

昨夜、何をすればいいのか分からないまま、なにもしなかった人も、それで大丈夫です。

手を動かすのは今日からで十分で、向き合うのは受信箱の奥で眠っている昔の登録なのかもしれませんね。

 

この記事で参考にした情報

  • piyolog「PHPの2件の深刻な脆弱性についてまとめてみた」（2026年10月21日・22日更新）
  • ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開」（2026年10月22日）
  • TBS NEWS DIG（2026年10月21日配信）
  • watchTowr、Patchstack、Tenableの各社の報告（2026年10月20〜21日）
  • CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）
  • 個人情報保護委員会「漏えい等の対応とお役立ち資料」