高市総理が呼びかけた「PHPの対応」とは？ 会社と私たちが確認すること

「大至急のお願い」と言われても、PHPが何かわからないと、自分も何かしなければいけないのか迷いますよね。

今回求められたのは、主に ウェブサイトを運営・管理する側が、安全上の弱点を直す対応 です。何が起き、私たちは何を確認すればよいのでしょうか。

※2026年10月23日に確認した情報をもとに整理しています。

状況（何が起きたの？）

2026年10月21日、高市総理はXで、PHPを使うウェブサイトについて修正プログラムを速やかに適用できるよう準備することを呼びかけたと、ITmediaが報じています。すぐに対応できない場合は、サイトの一時停止も対策の一つとして示しました。

PHPの開発元は同日、重大な2件の弱点を直す修正版を公開し、急いで更新するよう求めています。出典：PHP開発元の発表

原因（PHPの何が問題だったの？）

PHPは、ウェブサイトの裏側で、画面を作ったり情報を処理したりするためのプログラミング言語です。サイトを動かすコンピューターを「サーバー」と呼び、PHPはそこで働きます。参考：PHP公式の説明

今回は、そのPHPを動かす仕組みに、安全上の弱点が見つかりました。こうした弱点を「脆弱性」と呼びます。

悪用されると、外部の人がサーバーに不正な命令を実行させるおそれがあります。開発元は、ログイン認証を通らずに攻撃できる可能性があると説明しています。利用する構成によっても危険性が異なるため、運営側の確認が必要です。

問題定義（なぜ急ぐ必要があったの？）

サイトの見た目が普通でも、裏側の弱点はわかりません。悪用されれば、サービスの停止や情報を盗まれる被害につながるおそれがあります。

弱点の発見と、実際に情報が流出したことは別です。 ただし、被害がわかってから直すのでは遅いため、対象を確認し、早く対策する必要があります。

また、PHPはさまざまなサイトや製品で使われています。担当者任せにせず、更新に必要な時間や、一時停止する判断を会社側で支えることも大切です。参考：IPAの注意喚起

対策（会社として）

• 対象を確認する。 自社のサイトや利用中の製品が影響を受けるか、管理担当者や提供元に確認する。
• 修正版へ更新する。 提供元の案内に従い、動作確認も行う。外部に管理を任せている場合も、対応状況を確認する。
• すぐに直せない場合の対応を決める。 アクセス制限や一時停止などを検討し、利用者への案内と代替手段を用意する。

更新だけで、過去に攻撃されていなかったことまで確認できるわけではありません。JPCERT/CCは、侵害の有無の調査と継続的な監視も呼びかけています。

対策（私たちにできること）

普段サイトを見る人が、スマートフォンにPHPを入れ直す対応を求められたわけではありません。

• 利用するサービスの公式なお知らせで、停止している機能や再開状況を確認する。
• 急ぐ手続きがあれば、公式に案内されている電話窓口などの代替手段を確認する。
• この話題に関連して「更新が必要」などのメールやSMSが届いても、添付ファイルやリンクからすぐに操作せず、公式のお知らせを確認する。

自分や家族でサイトを運営している場合は、運営する側として管理担当者や契約先へ確認してください。

影響・今後の見通し

東京都は10月22日、一部サービスを安全確保のため予防的に停止していると公表しました。このように、被害を防ぐために止める場合もあります。

「サイトが止まった＝攻撃を受けた」とは限りません。再開時期もサービスごとに異なるため、それぞれの運営元の案内を確認しましょう。

まとめ

• 今回のお願いは、PHPの重大な弱点を直すため、主にサイト運営側へ対応を求めたものです。
• 会社側は対象の確認・更新・侵害調査を進め、必要なら一時停止も判断します。
• 私たちは利用先の公式情報を確認し、必要な手続きや代替手段を落ち着いて選びましょう。