PHP脆弱性で国内は何を止め、どう戻しているか。22日昼時点の整理
> 【10月22日17時 追記】
> ・バルテックが、PHPの脆弱性を狙った攻撃で顧客情報が流出した可能性を公表していた（22日11時51分）。新たに確認したので、冒頭の結論と「実被害」の節を書き換えた。
> ・JPCERT/CCが13時11分に注意喚起を出し、侵害の有無の調査を呼びかけた。IPAも「PHPの脆弱性対策について」を公開している。
> ・ロリポップ!（13時11分、公式Xを引用した報道による）、ヘテムル（12時18分）、ムームー（15時36分完了）が利用者のサイトを再開した。
> ・ニコニコは15時30分に9サービスを再開し、5サービスは再開未定。国税庁は10時20分ごろに止め、16時10分ごろに戻した。
> ・Value-domain系の対象バージョンを訂正し、カラフルボックスを追加した。時点の表記は22日17時ごろに改めた。
>
> 【10月22日12時15分ごろ 初版】
21日の午後から22日にかけて、国内のウェブサービスが次々に止まった。レンタルサーバー、ゲーム、EC、銀行、自治体、省庁まで、多くはPHPの脆弱性「php2shell」への予防措置だ。
ただ、昼過ぎになって構図が一つ変わった。POSシステムなどを手がけるバルテックが、22日11時51分に顧客情報の流出の可能性を公表している。原因は「PHPの脆弱性を標的としたサイバー攻撃」とある。
バルテックの告知にCVE番号の記載はなく、php2shellによるものかは特定されていない。影響範囲は調査中で、約25のサービスを止め、復旧は最短で26日中としている。
それ以外の停止は、確認できた範囲では「やられる前に」止めた予防措置だ。脆弱性の中身や修正版、WAFの話は前の記事にまとめた（前の記事のリンク）。今回は、国内で何が止まり、どう戻りつつあるかに絞る。
21日午後から22日夕方までの流れ
時刻はすべて日本時間で、要所だけ拾う。
停止の動きは21日の午後から始まった。報道によると、コドモンは14時ごろに全サービスを止めている。BASEが15時50分、エックスサーバーが16時に公式サイトや管理画面を止め、19時にはニコニコ、pixiv、ConoHa WINGなどが続いた。
21時44分に国家サイバー統括室が、21時55分に高市首相がXで対応を呼びかけた。PHPの修正版（8.5.12、8.4.27、8.3.36、8.2.35）が出たのは22時台だ。
深夜から朝にかけて、更新と再開が進んだ。pixivは21日23時30分、コドモンは22日3時22分、BASEは8時に戻った。エックスサーバーは6時45分に、PHP 8.2〜8.5の対象サーバーへの適用を終えている。
22日の日中も止める動きは続いた。国税庁は10時20分ごろにホームページなどを止め、16時10分ごろに再開した。JVNは10時30分に情報を公開し、11時51分にはバルテックが情報流出の可能性を公表している。
午後は戻す動きが中心になった。ヘテムルが12時18分、ロリポップ!が13時11分に利用者のサイトを再開した。13時11分にはJPCERT/CCが注意喚起を出し、15時30分にはニコニコが一部のサービスを戻している。
首相の投稿と、公的機関の発信
高市首相の投稿（21日21時55分）は、次のような内容だった。
「皆様に、今夜に対応して頂きたい大至急のお願いです。」
「…今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。」
「修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。」
その11分前、21時44分には国家サイバー統括室もXで同じ趣旨を発信していた。一時停止も有効策の一つ、という部分まで共通している。
22日は、受け手を分けた発信が増えた。総務省は11時18分のXで「一般のインターネット利用者の皆様に、特段の対応を求めるものではありません」と書いている。前夜の呼びかけはサイトを運営する側に向けたもの、という整理だ。
報道によると、官房長官は22日午前の会見で、政府系機関や基幹インフラの被害は「現段階で報告されていない」と述べた。
JPCERT/CCは13時11分に注意喚起（JPCERT-AT-2026-0033）を出し、15時6分に改訂した。対策の適用に加えて「侵害有無の調査」を求めているのが、昼までの発信との違いだ。
調査の観点として挙げているのは次のようなものだ。
異常に長いPHPSESSID
不審なmultipart/form-dataのリクエスト
メモリ上限のエラーやHTTP 500の発生
PHPのワーカーの異常終了
注意喚起は「痕跡が確認されない場合でも…攻撃を受けていないと断定することはできません」とも書いている。ログに何もなければ安心、とはならない点は押さえておきたい。
IPAも22日に「PHPの脆弱性対策について」を公開し、レベルは「注意」とした。JVNは14時20分にJPCERT/CCの注意喚起へのリンクを追加している。
レンタルサーバー各社の対応
ここが一番、差が出たところだ。利用者のサイトを止めたか、PHP 8.1以下の古い版をどう扱ったか、利用者に何を求めているか。この3点で見ていく。
エックスサーバー（シン・レンタルサーバー、スターサーバー含む）
止めたのは公式サイトや管理画面の側で、利用者のサーバーは動かし続けた。21日16時の停止について、公式は「不正アクセスの発生に伴うものではございません」と書いている。
22日6時45分に、PHP 8.2〜8.5は対象のすべてのサーバーへの適用を終えた。古いPHPは独自の修正を作って順次適用しているが、17時台の時点で完了の報告は出ていない。
管理画面は9時30分に一部が戻り、13時15分にはシンクラウド系も再開した。公式サイト、WEBメール、API/MCP、問い合わせフォームは止まったままだ。サービスサイトは「10月22日（木）中に再開予定」で、17時台もつながらなかった。
さくらインターネット
サイトを止めずに更新した側だ。21日23時から22日6時30分までのメンテナンスで、数秒程度の接続断だけで作業を終えた。選べる全バージョンのPHPで対応を完了し、古い版を使う人にはPHP 8.3への切り替えを求めている。
止めていた付随機能も午後に戻った。13時45分にウェブメールとファイルマネージャー、15時15分までにphpMyAdminなどが復旧している。14時現在の告知では、この脆弱性を悪用した不正アクセスや情報漏えいなどの「被害は報告されていません」としている。
mixhost・カラフルボックス
mixhostは22日10時18分ごろに適用を終えた。CloudLinuxの独自修正パッケージで、PHP 5.2〜8.5が対象だ。8.4.26は8.4.26のままと、バージョン番号を変えずに修正が入る。
カラフルボックスは「2026年10月22日朝までにすべて完了」と告知した。7.4、8.0、8.1などの古い版も適用を終え、利用者の対応は不要としている。
ロリポップ!・ヘテムル・ムームー
ロリポップ!・ヘテムル・ムームーの3つは、利用者のサイトを一時的に止めて更新する方法をとった。いずれも22日の午後までに戻っている。
ロリポップ!は、週刊アスキーが引用した公式Xによると、13時11分に停止していたサイトを再開した。記事の要約では、古いPHPにも独自の修正を入れたとされる。公式のお知らせ本文は、こちらでは開けず確認できなかった。
ヘテムルは12時18分に利用者のサイトやコントロールパネル、FTPなどを再開し、13時20分にphpMyAdminも戻した。PHP 8系と7.4は公式の修正版、それ以外は公式の修正内容に基づく独自修正だ。
ヘテムルで目を引くのは、すべてのバージョンで「session.upload_progress」を無効にした点だ。ファイルのアップロード進捗を表示する機能に関わる設定で、利用者には動作確認を求めている。
ムームーサーバーは14時23分にサイトを再開し、15時36分に「本メンテナンスはすべて完了」とした。
Value-domain系（CORESERVER、VALUESERVER、XREAなど）
夜のうちに終わらせた組だ。昼の版で書いた内容を、一次の告知に合わせて直しておく。
CORESERVER V1、VALUESERVER、XREAは22日0時50分にPHP 7.4以上で完了した。Oneレンタルサーバーは10時20分に8.0以上で、CORESERVER V2は11時13分に終えている。
告知には、PHPのバージョン番号の末尾（枝番）が変わる場合があるとある。利用者には動作確認を求め、8.2未満は対応が難しい場合があるとしている。
CPI
21日21時から管理画面などを順次止めている。14時10分の更新で「最新パッチが提供されているバージョンについては、急ぎ対応をおこなっております」と書いた。
Roundcubeは13時11分ごろに戻ったが、ほかは再開未定だ。不正アクセスや攻撃は確認されていないとしている。
ConoHa WING・お名前.com レンタルサーバー
ConoHa WINGは、10時までの予定だったメンテナンスの完了告知が17時時点で見当たらない。ファイルマネージャーとWebメールも止まったままで、告知にPHPの文字はない。
お名前.comは「PHPの脆弱性への弊社対応について」という告知を22日に出した。タイトルは確認できたが、本文は確認できていない。
KAGOYA
事業者側では利用者のサーバーを止めていない。PHPのお知らせは10時35分から更新がなく、8.2〜8.5は「修正版へのバージョンアップによる対応を調整」のままだ。暫定策として、利用者にサイトの公開停止やアクセス制限の検討を求めている。
14時15分からは、会員サイトや各種コントロールパネル、Active!mailを止める緊急メンテナンスを始めた。「ご契約中のサーバーおよびサービスの停止はございません」とし、被害は確認されていない予防的な措置だと書いている。
並べてみると
17時の時点で、ざっくり4つに分かれる。
利用者のサイトを止めずに更新を終えたと告知: さくら、mixhost、カラフルボックス、Value-domain系、エックスサーバー（8.2〜8.5）
利用者のサイトを一時停止して更新し、再開済み: ロリポップ!、ヘテムル、ムームー
管理画面などを止め、適用状況は告知で一部しか確認できない: CPI、ConoHa WING、お名前.com
事業者は利用者のサーバーを止めず、利用者に停止検討を依頼: KAGOYA
mixhostは、サイトを止めたかどうかを告知から読み取れなかったので、便宜上1つ目に入れている。
古いPHPの扱いも分かれた。さくら、mixhost、カラフルボックス、ヘテムルは古い版にも修正を入れた。エックスサーバーは独自修正を順次適用中だ。PHPの公式は8.1以下を更新の対象外としているので、各社の自前の対応に頼る形になっている。
主要サービスは大半が戻り、一部が残る
17時の時点で、止まったサービスの多くは戻った。ただ、長引いているところも見えてきた。
戻ったもの
pixivとBOOTHは21日23時30分ごろ、BASEは22日8時に戻った。コドモンは3時22分に本体を戻し、付随サービスも16時16分のコドモンストアで再開を終えた。所在確認アラートだけは23日に再開する予定だ。
Cygamesのゲームも戻った。ウマ娘は公式Xで22日2時30分にメンテナンスを終えたとしている。報道によると、グラブルはDMM版以外が朝に終わり、DMM版はDMM GAMES側のメンテナンスで続いている。
国税庁は10時20分ごろにホームページなどを止め、16時10分ごろに再開した。札幌市はホームページが戻ったが、問い合わせフォームやアンケートは当面止めるとしている。
ニコニコは半分戻った
ニコニコは15時30分に、動画、チャンネル、プレミアム、漫画など9サービスを再開した。静画やニコニ・コモンズなど5サービスは再開未定で、ニュースオリジナルは新システムの稼働まで止める。
理由として「PHP本体の更新だけでなく、関連するソフトウェアの更新や一部システムの改修が必要」と書いている。PHPを上げれば終わり、とはいかない現場があることが分かる。
止まったまま、または現状が分からないもの
バンダイチャンネルは、17時2分の時点でも「2026年10月21日（水）20:00 ～ 未定」のメンテナンスが続いていた。
JRE MALLは、21日23時ごろからの緊急メンテナンスが続いている。告知に理由の記載はなく、PHPとの関係は確認できなかった。時事通信によると、JR東日本は22日、ビューカードのアプリなども止めている。
アニメイトの通販とメロンブックスは、停止は報道で確認できたが、17時時点の状況は確認できていない。
金融、交通、自治体
昼以降の報道では、三菱UFJ銀行のネットバンキングの一部停止（時事）が出た。JR西日本のグループ約60サイト（共同）、JR四国の公式サイト（共同）、JR東海のエクスプレスワーク（中日）も止まっている。
HISの予約・決済は21日23時ごろに止まり、22日に戻った（ANN）。すき家やはま寿司のアプリは、復旧のめどが立っていないと報じられている（ANN）。
piyologの集計では、停止を告知した組織は211のままだ。これは22日1時台までの告知が基準で、昼以降に増えた分は入っていない。
利用者への影響
J-CASTなどの報道では、影響の例として電子チケットが表示できない、ファンクラブの先行受付が延長された、といった話が出ている。古い環境で動いていたゲーム2本が、サービス終了に至ったとも報じられた。
止めること自体にもコストがある。数時間で戻ったところと、終了を選んだところの差は小さくない。
被害の公表はバルテック1社、試行は海外で多数
「悪用の試み」と「侵害の被害」は分けて読みたい。ここが一番混同されやすい。
国内: バルテックの公表
バルテックは22日11時51分に告知を出し、12時9分に更新した。「第三者からの不正アクセスにより、弊社が保有するお客様情報の流出とみなされる事実が発生したことを確認」とある。
原因は「PHPの脆弱性を標的としたサイバー攻撃」で、CVE番号やphp2shellの名前は書かれていない。セキュリティ対策Labも、php2shellによるものかは特定されていないとしている。
影響範囲は調査中だ。POSシステムやWEB予約など約25のサービスを止め、復旧の目途は「最短で2026年10月26日（月）中」としている。17時時点で、ほかに侵害を公表した組織は確認できなかった。
イオンやふるさとチョイスなどのトラブルも話題になっているが、PHPとの関係は公表されていない。別の事案として扱うべきものだ。
海外: 試行は公開前から
Amazonは、修正版の公開4日前の10月17日から悪用の試みを観測していたと、AWSのブログで公表した。複数の攻撃者によるものと見ているが、侵害が成功したかは「unclear」としている。
Cloudflareのマシュー・プリンスCEOは、Xで試行の件数に触れたと報じられている。公開後数時間で数十万件、投稿時点で数百万件という。こちらは報道経由で、投稿の原文は確認できていない。
GitHubには攻撃コード（PoC）も出ている。作者の主張では、mod_phpの環境で条件付きで任意のコードを実行できるというが、第三者の検証はない。米CISAの悪用済み脆弱性カタログ（KEV）には、17時時点でも登録されていない。
試みは公開前から大量に来ていて、国内では原因をPHPの脆弱性とする流出の公表が1件出た。修正版を当てていないサーバーが安全という意味ではまったくない。
止めた判断と、止めなかった判断
ここからは自分の見立てになる。
止めた側を責める話ではないと思っている。公開前から悪用の試みがあり、首相と国家サイバー統括室が一時停止も有効策だと言った。その夜に自前で更新を回せない組織にとって、止めるのは筋の通った判断だ。
一方で、さくらやValue-domain系のように、夜のうちに更新を終えたところもある。PHP公式によると、Linuxディストリビューションなどには事前に修正が渡っていた。この準備を日ごろの運用に組み込めていたかで、止める範囲が変わったように見える。
ニコニコの例も示唆的だ。PHP本体だけでなく、関連するソフトウェアの更新やシステムの改修が要ると書いている。古い構成を抱えているほど、修正版が出ても戻すまでに時間がかかる。
もう一つ気になったのは告知の書き方だ。BASEやShadowverse、ヘテムルはPHPの脆弱性と明記した。ConoHa WINGは「システムの保守作業」、JRE MALLは理由を書いていない。
どこまで書くかは、攻撃者への情報の出し方も絡むので一概には言えない。ただ、利用者が自分のサイトへの影響を判断するには、PHPと書いてあるほうが動きやすい。セキュリティ運用の立場からは、そう感じた。
立場別、いまやること
レンタルサーバーを使っている人
まず、契約している事業者の最新の告知を見る。終えたところ、利用者に対応を求めるところ、まだ調整中のところで、やることがまったく違う。
PHP 8.1以下を使っているなら、8.2以上（さくらは8.3を推奨）に上げる準備をする。WordPressならテーマやプラグインの対応も見ておく
KAGOYAのマネージド専用・共用・WordPress専用で、更新を待てない事情があるなら、公開停止やアクセス制限を検討する
再開したら、サイトの表示、フォーム、ログインが動くかを確かめる
ヘテムルのようにsession.upload_progressを無効にした事業者もある。アップロードの進捗表示を使うサイトは動作を確認する
Value-domainのように、バージョンの枝番が変わる場合もある。番号でPHPを判定している仕組みがあれば見直す
エックスサーバーのように、管理画面の再開後に追加の対策が案内される場合がある。お知らせを見落とさない
phpinfo()でバージョン番号を見ても、修正が入ったかは分からないことがある。mixhostのように、番号を変えずに修正を当てる事業者もあるからだ。判断は事業者の告知を基準にしたい。
ネットサービスを使うだけの人
総務省が書いているとおり、一般の利用者に特別な対応は求められていない。サービスが止まっていたら、再開を待てばいい。
今回の停止のほとんどは、被害が出たから止めたものではない。メンテナンス＝情報漏えい、ではない。バルテックのように流出の可能性を公表した例はあるので、使っているサービスから連絡が来ていないかは見ておきたい。
状況は公式サイトや公式Xで確かめ、出どころの分からない「まとめ」は話半分に読むくらいでちょうどいい。
自分でサーバーを運用している人
PHPを修正版（8.5.12、8.4.27、8.3.36、8.2.35）か、ディストリビューションの修正済みパッケージに更新する。更新したら、PHP-FPMやApacheのワーカーを再起動して、古いプロセスが残っていないか確かめる。
PHP 8.1以下は、PHPの公式から修正版が出ない。ディストリビューションの対応を確かめるか、8.2以上へ移る
すぐ更新できないなら、前の記事に書いた緩和策で時間を稼ぐ。完全な緩和策はない、というのがPHP公式の立場だ
JPCERT/CCの注意喚起にある観点で、17日以降のログを確認する。長いPHPSESSID、不審なmultipart/form-data、HTTP 500、ワーカーの異常終了が目安になる
痕跡がなくても攻撃を受けていないとは断定できない。判断がつかないなら、一時停止や専門家への相談も選択肢に入れる
試行が公開4日前の17日から観測されている以上、ログを見る範囲は21日からでは足りない。
今回、一番差が出たのは「修正が出た夜に、どれだけ早く当てられたか」だった。あなたの環境では、21日の夜にどう動いただろうか。迷ったところや困ったことがあれば、ぜひコメントで教えてください。
この記事は22日17時ごろ時点の情報で書いている。状況は刻々と変わるので、対応の判断は各社や公的機関の最新の発表を優先してほしい。
参考リンク
公式・公的機関
事業者
報道・まとめ
#PHP #php2shell #脆弱性 #レンタルサーバー #エックスサーバー #さくらインターネット #ロリポップ #サーバー運用 #情報セキュリティ #サイバーセキュリティ
