2026年10月21日の昼すぎから夜にかけて、保育園の連絡アプリのコドモンやpixivが次々に止まり、ウマ娘やグラブル（グランブルーファンタジー）まで「緊急メンテナンス」を告知しました。

原因は、世界中のウェブサイトの裏側で使われている「PHP（ピーエイチピー）」というプログラムに見つかった、2つの重大な欠陥です。

欠陥を直す修正版は、PHPの開発チームが前もって知らせていた「23時」より20分ほど早い、21日の22時40分ごろに公開されました。

 

修正版が出ると、直し方と一緒にどこが壊れていたのかも知れ渡り、まだ直していないサイトが狙われやすくなります。

しかもその前から、欠陥があるという話がネットに漏れ出していたため、早いところでは昼のうちから、修正版を入れ終えるまでサービスを止める会社が相次いだのです。

Xでは「どこもかしこも緊急メンテ」「世界で今何が起こってるんだ」と、不安になったり、おどろいたりしながら書きこむ人が、あとを絶ちませんでした。

一夜明けた22日の朝には、コドモンやpixiv、グラブルが戻った一方で、ニコニコ動画やファイナルファンタジーXIVの新しいログインのように、まだ止まったままのところもあります。

何が起きたのか、どのサービスが止まって、いつ戻ったのか、私たち利用者がこれから何に気をつければいいのかを、できるだけやさしくまとめました。

いちばん気になるのは、結局のところ「何が危なくて、何は大丈夫なのか」というところですよね。

心配しなくて大丈夫なこと

  • 狙われているのはサービスの側のコンピューターで、私たちのスマホやパソコンに何かが入りこんでくるわけではない
  • 止まったサービスは、守るために自分から扉を閉めているだけで、壊れてしまったわけではない
  • 22日の朝の時点で、情報が漏れたと発表した会社は見当たらない
  • 止まっているあいだに、アプリを入れ直したり、あわててパスワードを変えたりする必要はない（変えるなら、よく使うサービスの復旧のお知らせがひととおり出てから）

気をつけたいこと

  • 「緊急メンテナンス」「パスワードの再設定を」と名乗るメールやSMS（騒ぎに便乗した詐欺）
  • 同じパスワードをいくつものサービスで使い回していること
  • 直されないまま放っておかれた古いサイトに、名前や連絡先を預けていること

気をつけたいことにどう手を打てばいいかは、記事のいちばん最後にひとつずつまとめてあるので、そこだけ先に読んでも大丈夫です。

予定より早く修正版が出たPHPの脆弱性

PHPは、ウェブサイトやアプリの「裏側」を作るためのプログラミング言語で、画面に名前が出てくることはまずありません。

多くのサイトで、ログインや買い物かご、掲示板への書きこみなど、ボタンを押したあとに動く仕組みはPHPで作られていて、私たちが見ていない裏側で、ボタンを押したあとの処理を引き受けています。

調査会社W3Techsの数字では世界のウェブサイトのおよそ7割がPHPで動いていて、ブログやお店のサイト作りでよく使われるWordPress（ワードプレス）も、PHPで動いているもののひとつ。

 

そのPHPに、脆弱性（ぜいじゃくせい）、つまりセキュリティの穴が2件見つかったと、PHPの開発チームが日本時間の10月21日の明け方に発表しました。

開発チームは、2件とも危険の度合いをいちばん重い「緊急」と評価していて、海外のセキュリティ会社や研究者は、外からサーバー（サイトの中身を置いているコンピューター）を乗っ取られて、思いどおりに操られてしまうおそれがあると見ています。

サイトを乗っ取られれば、会員の名前やメールアドレスなど、そのサイトに預けてある情報まで抜き取られてしまうかもしれないのです。

だから各社は、自分たちのコンピューターが乗っ取られる前に、修正版を入れて穴をふさごうと急いでいました。

しかも修正版が出ると、どこが壊れていたのかまで知れ渡ってしまいます。

直したプログラムは誰でも無料で手に入るように配られるので、前の版と見比べれば、どこを直したのかが分かってしまうからです。

各社が入った緊急メンテナンスは、新しい鍵に付け替えるまで、家の扉ごと閉めておくようなもの。

止まったサービスと再開の状況

10月21日に、脆弱性への対応として緊急メンテナンスや一時停止を告知したおもなサービスがいまどうなっているかは、22日の朝10時ごろまでに各社が出したお知らせを見ると、次の3つに分かれます。

まだ止まっているサービス

  • ニコニコ動画・ニコニコ静画・ニコニコ漫画など＝21日19時から止め、終わりは未定
  • ファイナルファンタジーXIV＝22日1時すぎから新しいログインを停止（ログイン中の人はそのまま遊べる）
  • Shadowverse: Worlds Beyond＝21日の夜から止め、終わりは未定
  • 刀剣乱舞ONLINE＝21日22時から止め、終わりは未定
  • 神姫PROJECT＝21日22時から止め、終わりは未定
  • アルファポリス（小説・漫画）＝運営するすべてのサイトとアプリを止め、安全が確かめられしだい再開
  • バンダイチャンネル＝21日20時から止め、終わりは未定
  • 静岡銀行＝ネットバンキングを一時停止
  • 阿部寛のホームページ＝ページを置いているサービスのメンテナンスで、22日の朝から見られないまま

止まっているあいだは、何度もログインを試さなくても大丈夫。

再開のお知らせが出るのを待っていれば十分です。

復旧して使えるサービス

  • コドモン（保育園・こども園の連絡アプリ）＝22日4時半ごろに再開（所在確認アラートは22日いっぱい停止）
  • pixiv・ピクシブ百科事典・pixivFANBOX・BOOTH＝21日23時30分にメンテナンス終了
  • BASE（ネットショップ作成）＝22日の朝にメンテナンス完了
  • カラーミーショップ（ネットショップ作成）＝22日7時20分に一部を復旧
  • エックスサーバー（ホームページを置く場所を貸している会社）＝22日6時44分にサーバーの修正を終え、申し込みや管理画面も順に再開
  • auじぶん銀行＝22日9時30分に、サイト・ネットバンキング・アプリとも通常どおりと案内（一部の問い合わせ窓口は夕方まで停止）
  • ウマ娘 プリティーダービー＝22日2時30分に再開
  • プリンセスコネクト！Re:Dive＝22日2時10分に再開
  • グランブルーファンタジー＝22日7時に再開

戻ってきたサービスは、各社が修正版を入れてから開け直しているので、ふだんどおり使って大丈夫です。

止めずに動いているサービス

  • ニコニコ生放送・ニコニコアカウント（ログイン）・ニコニコ大百科・ニコニコニュースなど＝今回の穴の影響を受けないつくりのため、止めずに提供
  • エックスサーバーを借りている人のサイト＝管理画面は止まったが、サイトはふだんどおり表示
  • 銀行どうしのお金のやりとり＝全国銀行協会によると、影響は確認されていない

止めていないからといって、何も手を打っていないわけではなく、もともと穴のある部分を使っていないところや、サービスを動かしたまま修正を入れたところもあります。

 

次のサービスも21日に止まりましたが、22日の朝の時点では、再開したという公式のお知らせは、まだ見当たりませんでした。

  • 文豪とアルケミスト
  • ヘブンバーンズレッド
  • REALITY
  • pictSQUARE・pictBLand
  • するる・タイッツー
  • ブシロードのサイト

使う前に、公式アプリか公式Xで一度確かめておくと安心です。

22日の朝には、表示がとても速いことで知られる「阿部寛のホームページ」までメンテナンスに入り、Xのトレンドに上がりました。

サイトそのものは昔ながらのつくりでも、ページを置かせてもらっている先が止まれば、一緒に見られなくなるわけです。

メンテナンスを告知した会社の多くは、お知らせの中で不正アクセスや情報の流出は確認されていないと説明しています。

コドモンが平日の昼に止まった理由

中でも、毎日の連絡に使っていた保育園やこども園の連絡アプリ「コドモン」が止まったことは、暮らしにいちばん直接響きました。

欠席の連絡、お迎えの時間の変更、連絡帳、登園と降園の記録まで、ふだんアプリでしていたことが、平日の昼すぎに急にできなくなりました。

21日の14時16分、コドモンは公式Xで、「予防的な措置」として、保護者アプリを含む全サービスを順次止めていると知らせました。

コドモンはその理由を「すでに攻撃対象になりかねない状況」と説明していて、その16分前の14時には、国内のセキュリティ会社GMO Flatt Securityが自社のブログに、この穴を悪用できるとうたう攻撃用のプログラムがネットに出回り始めたと書き足していました。

 

コドモンが預かっているのは、子どもの名前や家庭の連絡先、毎日の登園の記録。

2026年3月の時点で2万5000を超える施設が使っていると報じられていて、守るものがそれだけ多いサービスだからこそ、不便になるのを分かったうえで先に止めることを選んだのでしょう。

止めているあいだ、コドモンは保護者へのお知らせの文書や、登降園の記録簿・出席簿のひな形を園向けに配り、22日の4時半ごろに公式Xで再開を知らせました。

ただ、「所在確認アラート」という通知の機能だけは、22日いっぱい止めたままです。

この日のお迎えや欠席の連絡で迷ったら、園から届く案内のとおりにしておけば大丈夫でしょう。

情報が漏れて1日早まった修正版の公開

じつは、修正版を出すとPHPの開発チームが予告していた23時という時刻も、もともとの予定ではありません。

アメリカのセキュリティ会社Huntressの報告によると、修正版の公開は本来、日本時間で23日の午前0時の予定でした。

穴の中身は、直し方ができあがるまで、PHPの開発チームと、前もって知らされた一部のセキュリティ会社だけの秘密にしておくのが、こういうときのいつものやり方です。

前もって知らされていた海外のセキュリティ会社watchTowr（ウォッチタワー）も、本来の日時まで待つはずだったと発信していて、全員が同じ時刻まで黙っている段取りでした。

 

ところが日本時間の21日0時すぎ、海外の技術系の掲示板（Hacker News）に、PHPの重大な穴の公開が近いとほのめかす書きこみが出たのです。

書きこみはすぐに消されましたが、画面の写しがSNSで出回り、watchTowrは、穴が本物だと確かめたと明かしています。

その日の明け方、PHPの開発チームは、公開を1日ほど早めた21日23時に出すと予告しました。

直し方より先に、穴があることだけが知れ渡り、各社が準備に使える時間は1日削られたのです。

 

GMO Flatt Securityも、21日の昼前には「PHPの設定を一部変えれば、ある程度は防げる」と書いていましたが、悪用できるとうたうプログラムが出回り始めたことを伝えた14時の書き足しで、「設定を変えるだけでは防ぎきれない」と書き直しています。

そのプログラムで本当に攻撃できるのかは確かめられていませんが、23時まで待つあいだ、サイトの側で設定を変えるくらいの手当てでは足りないとなれば、あとはサービスそのものを止めるくらいしか、打てる手がありません。

PHPの中心的な開発者のひとりも、1日止められるなら止めるのが「いちばん賢明」だと話していると、海外のセキュリティ会社Sansec（サンセック）が伝えています。

修正版が出たあとも、各社は自分たちのサーバーに入れてから、ログインや課金がちゃんと動くかを確かめて、ようやく扉を開け直していきました。

終わりの時刻を「未定」としていた会社が多かったのは、その確認にかかる時間が、修正版の中身を見るまで読めなかったからでしょう。

Sansecは、修正版の公開から15分以内に大がかりな攻撃が始まると予想していて、政府のサイバー対策をまとめる国家サイバー統括室と警視庁も、修正版をすぐ入れられるよう準備してほしいとXで呼びかけていました。

直されないまま残る古いサイト

修正版が出ても、それが世界中のサイトに一斉に届くわけではありません。

スマホのアプリのように自動で更新が届く仕組みではなく、サイトの持ち主か、サーバーを貸している会社が、自分の手で入れ替えて初めて直るからです。

しかもPHPにはスマホのOSのように版（バージョン）があり、公式の修正は、いまも開発チームが面倒を見ている新しい版にしか出ないと、Sansecは伝えています。

 

作った人がもう社内にいない町のお店や会社のホームページは、入れ替える人も、古い版から上げる人もいないまま残ってしまう。

ただ、上の「止めずに動いているサービス」のように、止めないのにはそれぞれ理由があるので、使う側が1つずつ見分ける必要はありません。

気をつけたいのは、誰も手入れをしなくなった古いサイトです。

 

「世界のサイトの7割が使っているPHPなのに、なんで直されないまま残るサイトが出てしまうの？」と思いますよね。

理由のひとつは、PHPを直す人と、直したものを配る人の手が、思っている以上に限られていることです。

PHPは誰でも無料で使えるソフトで、開発の中心にいる人たちのお給料は、2021年11月に会社などがお金を出し合ってつくった財団「PHP Foundation」から出ています。

直した修正版をサーバーへ届ける配布元にもボランティアで回しているところがあり、その配布元は21日のうちは修正版を出さないと、Sansecは伝えていました。

世界のサイトの土台なのに、直すのは寄付で雇われた開発者、配るのはボランティア、入れ替えるのは各サイトの持ち主やサーバーを貸している会社任せ。

だから手入れの止まったサイトは、修正版が出たあともそのまま残ってしまうのです。

 

2年前に同じPHPで起きたことを振り返ると、直さないまま残ったサイトがどんな目にあうのか、はっきり分かります。

2024年6月にWindowsで動かすPHPの重大な穴が公表されたときは、アメリカのセキュリティ会社Wizによると、修正版が出たわずか2日後に攻撃が始まりました。

翌月には、国内で被害が出ていると指摘されたのを受けて、国のIT政策を支える情報処理推進機構（IPA）が注意を呼びかけました。

半年以上たった2025年1月ごろからも、直さないまま残っていたサイトから入りこんで日本の組織を狙う攻撃が続いていたと、アメリカの通信機器大手シスコが報告しています。

使う側の私たちにできるのは、こうした古いサイトから情報が漏れたときに困らないよう備えておくことで、その備え方は、いちばん最後の章にまとめてありますね。

「インターネットが壊れる」は本当か

まとめサイトには「インターネット、ガチでぶっ壊れるかも」という見出しまで出て、Xには「#サイバー緊急事態宣言」というハッシュタグも広がりました。

国の機関まで準備を呼びかけ、身の回りのアプリが本当に止まったのですから、不安になるのは当然です。

ちなみに、この「#サイバー緊急事態宣言」は、Xで個人が呼びかけたところから広がったもので、国が出した宣言とは別物。

 

一夜明けた22日の朝の時点で、ネット全体が止まってしまうようなことは起きていません。

同じPHPを使っていても作りによって影響は変わり、ニコニコは生放送やログインを「本脆弱性の影響を受けない技術構成のため」、つまり今回の穴が届かない作りだとして動かし続けています。

サイトと利用者のあいだに立って怪しいアクセスを止めるサービスの大手Cloudflareも、無料プランの利用者まで含めて、すでに出回っている攻撃のやり方を止める仕組みを入れたと、Sansecが伝えていました。

出回っているのは「悪用できる」とうたうプログラムまでで、21日の時点で、IPAなどは、実際にそれで攻撃されたことは確認していないとしています。

修正版が出たあとは、攻撃を集めるために置いたおとりのサーバーに、穴を突こうとする攻撃が実際に届いたと、海外のセキュリティ会社watchTowrが発表しました。

ただ、22日の朝9時半の時点で、入りこまれて情報が漏れたと発表した会社は1社も見当たらないままです。

 

「修正版が出た瞬間に、AIが数分で穴を見つけて一斉に攻撃する」という見立てもXで広がりましたが、セキュリティ会社が出している予想は「15分以内に大がかりな攻撃」までで、「AIが数分で」という部分は、そのセキュリティ会社の予想のどこにも出てきません。

ただ、サイトを守るエンジニアにとって、21日の夜が分単位の勝負だったのも本当です。

冗談めかして書いてはいますが、この人と同じように、実際に多くのエンジニアが修正版を待ってパソコンの前に座り、夜通しサーバーを直していました。

利用者がこれからできる便乗詐欺の対策

「緊急メンテナンスのため、パスワードの再設定を」というメールやSMSは、こういう騒ぎの直後にいちばん本物らしく見えてしまいます。

詐欺のメールにも、あとから流出が分かった場合にも備えて、利用者の側でできることは5つです。

  • 「緊急メンテナンス」「パスワード再設定」のメール・SMSのリンクは開かない
  • 再開や手続きの確認は、公式アプリかブックマークから
  • 同じパスワードを使い回しているサービスがあれば、よく使うサービスの復旧のお知らせがひととおり出てから、まずメールのパスワードを変更（ほかのサービスのパスワード再設定の案内はメールに届くので、メールを取られると全部やり直されてしまうため）
  • 2段階認証（パスワードのほかにSMSのコードなどでも本人か確かめる仕組み）やパスキー（顔や指紋でのログイン）の設定を確認
  • 「使い回しているパスワードが◯件」と出た確認の画面を、SNSに載せない

使い回しているかどうかは、iPhoneの「パスワード」アプリや、Androidの「Googleパスワードマネージャー」の確認の画面で分かりますよ。

件数の多さに驚いて誰かに見せたくなっても、その1枚をアカウント名やアイコンと一緒に載せてしまうと、だましの相手を探している人が「この人は1つ当てれば、ほかでも通じるかもしれない」と目をつける目印になってしまいます。

 

いまのところ情報が漏れたという発表はありませんが、2024年のときは、国内の被害が分かったのが修正版が出てから1か月近くあとでした。

念のため、カードの明細や通販の注文履歴は、しばらくときどき見ておくと安心です。

WordPressで自分のブログやお店のサイトを持っている人には、使う側の備えのほかに、やることがもう少しあります（PHPの版の確かめ方や、何年も放置したブログの片づけ方は、PHP脆弱性の個人向け対策まとめ｜一般人とブログ持ちでやることが違う理由で紹介しています）。

1日早まった修正版に間に合わせようと、各社がサービスを止めてまで守ったのは、私たちが預けている名前や連絡先なんですよね。