2026年10月21日夜から、楽天市場やニコニコ動画、pixivなど、国内外のさまざまなWebサイトやサービスで緊急メンテナンスが相次ぎました。原因となったのは、世界中のWebサイトで広く使われているプログラミング言語「PHP」に、深刻な脆弱性が見つかったことです。
大手サイトでは復旧が進んでいますが、引き続き対応が必要なサービスもあります。PHPとはどのような言語なのか、なぜサイトを停止する必要があったのか、家庭のWi-Fiルーターやパソコンの電源を切ることに意味はあったのか、利用者ができる対策も含めて整理します。
PHPとはどのようなプログラミング言語なのか
PHPは、主にWebサイトやWebサービスを動かすために使われるプログラミング言語です。Webサイトの表示だけでなく、会員登録やログイン、商品購入、問い合わせフォーム、データベースへの情報保存など、利用者の操作に応じた処理を行うために使われています。
一般的なWebサイトでは、利用者がブラウザーでページを開くと、サーバーが必要な処理を行い、その結果を画面に表示します。PHPは、このサーバー側の処理を担当する言語の一つです。
例えば、ネット通販で商品を検索したとき、商品情報をデータベースから取得して画面に表示したり、ログインした利用者に応じて異なる情報を表示したりする処理に利用できます。
PHPは世界中で広く使われており、WordPressを利用したブログや企業サイトにも採用されています。ほかにも、ネット通販、会員制サイト、予約サービス、掲示板など、さまざまなWebサービスで利用されています。
今回の問題が広い範囲に影響したのは、PHPが特定の企業だけで使われている言語ではないためです。なお、PHPを使っているすべてのサイトが同じ条件で危険にさらされるわけではなく、使用しているバージョンやサーバーの構成、修正プログラムの適用状況などによって影響は異なります。
PHPに見つかった重大な脆弱性とは？
今回、PHPの開発チームは、2026年10月21日に2件の重大な脆弱性を修正するアップデートを公開しました。23時に（日本時間）に公開予定でしたが、22時40分頃に前倒しで公開されています。
いずれも、PHPがメモリーを扱う際の処理に問題があり、特定の条件下でサーバー上のプログラムを不正に実行されるおそれがあるものでした。
メモリーとは、プログラムが処理中のデータなどを一時的に保存する領域です。今回の欠陥では、メモリー不足が発生した際の処理や、使用を終えたメモリーに関する情報の扱いに問題がありました。
攻撃者が細工したリクエストを送るなどして脆弱性を悪用すると、条件によっては、サーバー上で任意のコードを実行される危険があります。ログインしていない第三者からの攻撃が成立する可能性もあり、深刻度の高い問題として警戒されました。
悪用された場合、サーバーに保存されている情報の窃取、Webサイトの改ざん、不正プログラムの設置、サービスの停止などにつながるおそれがあります。ただし、これは想定される被害であり、脆弱性が見つかったことだけで、実際に情報漏えいや改ざんが発生したと判断することはできません。
なぜ楽天市場などのサイトが停止したのか
今回、楽天市場ではトップページやお気に入りページなどが緊急メンテナンスの対象となりました。ニコニコ動画、pixiv、横浜DeNAベイスターズ、BASEなどでもメンテナンスが実施され、メルカリも予防措置として臨時メンテナンスを行う可能性を案内していました。
海外でも、フランスのパリ警視庁のサイトやフィンランド政府の一般向けサイト、オランダのロッテルダム港のサイトなどが一時的に利用できなくなったと報じられています。
ここで注意したいのは、サイトが停止したことと、実際にサイバー攻撃を受けたことは別だという点です。
今回のメンテナンスは、すでに被害が発生したからとは限りません。PHPに脆弱性が見つかり、修正プログラムが公開されても、すべての運営者がすぐに更新できるわけではありません。修正前に攻撃される危険性があるため、サイトを一時停止したり、外部からのアクセスを制限したりして、リスクを減らす対応が取られました。
つまり、サイトの停止は、必ずしも「危険な状態になったサイトを発見した」という意味ではなく、被害を防ぐための予防措置だった可能性があります。安全な状態にするために必要な修正や確認を行い、その間はサービスを停止するという対応です。
ただし、すべての企業が同じ理由で停止したとは限らず、実際に攻撃を受けていたかどうかも、各運営者の発表などを確認しなければ分かりません。
大手サイトは復旧しても、すべての対応が終わったとは限らない
10月22日朝の時点では、大手サイトの復旧が進んでいます。一方、サイトによってはメンテナンスが続いたり、追加の作業が必要になったりする可能性があります。
PHPの修正プログラムが公開されたからといって、すべてのサイトが直ちに安全になるわけではありません。運営者がサーバーのPHPを更新し、必要に応じて関連する処理を再起動したうえで、安全性を確認する必要があります。
サイトが再び表示されるようになったことだけでは、対策が完了したかどうかまでは判断できません。ただし、サイトが一時的に利用できなかったという理由だけで、個人情報が流出した、アカウントが乗っ取られたと考える必要もありません。
Wi-Fiルーターやパソコンの電源を切る意味はあった？
今回のニュースを見て、自宅のWi-Fiルーターやパソコン、スマートフォンの電源を切った人もいるかもしれません。しかし、今回のPHPの脆弱性に対する直接的な対策としては、家庭の機器の電源を切っても根本的な解決にはなりません。
問題となったのは、主にWebサイトを動かしているサーバー側のプログラムです。自宅のWi-Fiルーターを停止しても、企業のサーバーにある脆弱性が修正されるわけではありません。
一方、機器の電源を切れば、その機器からインターネットに接続できなくなるため、機器がネットワーク経由で攻撃を受ける機会を一時的に減らせる場合はあります。ただし、今回のPHPの問題を解決するために、家庭の機器を一斉に停止する必要があったわけではありません。
また、サイトを見に行かないことも、サーバー側の脆弱性を直接防ぐ対策にはなりません。利用者がページを開かなくても、インターネットに公開されているサーバーが攻撃対象になる可能性があるためです。
利用者ができるセキュリティ対策
一般の利用者が優先したいのは、慌てて機器の電源を切ることよりも、普段使っている端末やサービスを適切に管理することです。
まず、パソコンやスマートフォンのOS、ブラウザー、アプリを最新の状態に保つこと。今回のPHPの脆弱性は主にサーバー側の問題ですが、端末やアプリの更新は、別の脆弱性を悪用した攻撃への備えになります。
次に、利用しているサービスの公式サイトや公式アプリで、メンテナンスやセキュリティに関するお知らせを確認してください。障害に便乗した偽の案内が出回る可能性もあるため、SNSやメールに掲載された不審なリンクからログインしないことも重要です。
パスワードや認証コードを求める不審なメール、SMSにも注意しましょう。サービスが停止しているからといって、案内されたリンク先でパスワードを入力したり、認証コードを教えたりする必要はありません。
一方、Webサイトを運営している人は、利用者とは異なる対応が必要です。PHPを利用しているサーバーの管理者は、修正版への更新や必要な防御措置を確認する必要があります。WordPressを利用している場合も、WordPress本体やプラグインを更新するだけで、PHP自体の脆弱性が修正されるとは限りません。レンタルサーバー会社の案内を確認し、必要な対応を取ることが重要です。
まとめ
今回のメンテナンスは、世界中で広く利用されているPHPに重大な脆弱性が見つかり、修正前に攻撃されるリスクを減らすため、企業や政府機関が予防措置を取ったことが背景にあります。サイトが停止したからといって、必ずしも攻撃被害が発生したという意味ではありません。
PHPはWordPressのブログや企業サイト、ネット通販、会員制サービスなど、さまざまなWebサイトを動かすために使われています。そのため、脆弱性が見つかった際には幅広いサービスに影響する可能性があります。
