なぜネットが止まった？PHPの重大な欠陥とは、放置すると何が起きるのか

鉄道の運行情報が見られない。アプリで弁当を予約できない。行政や企業のウェブサービスで、一時停止が相次ぎました。きっかけは、多くのサイトの裏側で働く「PHP」に見つかった重大な欠陥です。ただし、止まったサービスすべてが攻撃されたわけではありません。被害を防ぐため、運営者が先に止めた例もあります。PHPとは何か、放置すると何が起きるのか。普段ネットを使う人にも分かるように、今回の問題と必要な備えを整理します。

ネットが壊れた？「被害を防ぐ停止」も

2026年10月21日から22日にかけて、行政や企業のウェブサイト、ゲーム、アプリなどで、一時停止や緊急メンテナンスが相次ぎました。鉄道のホームページが見られなくなったり、飲食店の予約やクーポンが使えなくなったりと、身近なサービスにも影響が出ました。

原因は、ウェブサービスを動かす「PHP（ピーエイチピー）」に見つかった二つの重大な脆弱性です。脆弱性とは、悪用される恐れのある「安全上の弱点」のことです。

ただし、インターネット全体が故障したわけではありません。道路に例えるなら、道路網がすべて通行不能になったのではなく、道路沿いにある多くの店が、安全点検のため一時的に営業を止めた状態に近いでしょう。

例えば、大阪府は修正プログラムの適用などのため、一部サービスを停止すると発表しました。同時に、今回の問題による不正アクセスや情報漏えいは確認されていないと説明しています。

「止まったから攻撃された」とは限らないのです。弱点を直す前に攻撃される危険を避けるため、運営者が自ら止める。今回の混乱には、こうした予防的な措置も含まれています。

もちろん、利用者にとって不便であることは変わりません。しかし、公開を続けて顧客情報を盗まれる事態になれば、影響は一時的な休止より長引く恐れがあります。停止は、安全を守るための判断でもあります。

PHPとは何か？サイトの裏側で働く係

そもそも、PHPは何をしているのでしょうか。

ネットショップで商品を探す場面を考えてみましょう。利用者が商品名を入力すると、店側のコンピューターが情報を探し、価格や在庫を確認して、結果を画面に表示します。こうした裏側の仕事を動かすために使われる言語の一つがPHPです。

利用者のスマートフォンが店の「窓口」なら、PHPは店の「奥で働く係」に当たります。注文や問い合わせを受け取り、必要な情報を取り出す役割です。すべてのサイトが使っているわけではありませんが、広く普及しています。

今回の問題は、この係の作業手順に重大な不具合が見つかったようなものです。専門的には、処理の途中で使うメモリーの管理に関する欠陥です。

メモリーは、コンピューターが作業中の情報を一時的に置く「作業机」と考えると分かりやすいでしょう。例えるなら、作業が中断されたときに、整理途中の書類を完成済みと勘違いしたり、片付けたはずの古い情報を使ったりするような問題です。こうした不具合が、誤った処理につながります。

攻撃者に悪用されると、外部から勝手な処理を実行される可能性があります。条件によっては、ログインする前の段階で狙われるため、パスワードを難しくするだけでは防げません。

ここで、欠陥と攻撃を区別する必要があります。「玄関の鍵に不具合がある」と分かったことと、「泥棒が実際に入った」ことは別です。脆弱性は鍵の不具合、サイバー攻撃はそれを悪用して侵入しようとする行為に当たります。

盗まれたパスワードを使う不正アクセスとは、侵入の入口が違います。ただし、その先で情報を盗む、サービスを妨害するといった被害につながる恐れがある点は共通しています。

放置すると何が起きる？更新で塞ぐ弱点

欠陥があるからといって、すべてのサイトで直ちに被害が出るわけではありません。問題のあるPHPが動いていること、外部から弱点を突けることなど、攻撃が成立する条件があります。

しかし、「今は普通に動いているから大丈夫」と放置するのは危険です。見た目が変わらなくても、裏側には弱点が残っているかもしれません。

攻撃者が侵入に成功すると、システムの構成や与えられた権限によっては、顧客情報を盗まれたり、ページを書き換えられたりする恐れがあります。別の不正プログラムを置かれ、継続的に侵入される足場にされる可能性もあります。

修正版が公開されると、防御側だけでなく攻撃側も、その内容を調べます。直していないサイトを探す動きが進むため、対応の遅れが危険につながります。AWSは、今回の問題について、公表前から攻撃の試みを観測したと報告しています。ただし、実際の運用システムで成功したかどうかとは分けて考える必要があります。

対策の基本は、「パッチ」と呼ばれる修正プログラムを適用することです。鍵の不具合を修理する作業に当たります。

企業の担当者がまず確認したいのは、「自社のどこでPHPを使っているか」「誰が直すのか」「いつ完了するか」です。制作会社や保守会社、レンタルサーバー会社に、対応状況を問い合わせます。

サイトの作成・管理に使うWordPressと、そのプログラムを動かすPHPの実行環境は、別々に更新する必要があります。WordPressを最新にしただけで、その下で動くPHPまで修正されたとは限りません。

また、修正は弱点を塞ぐ作業です。すでに侵入されていた場合、不正なファイルなどが残っている可能性があります。そのため、修正後にはサービスの動作確認と、不審な操作の痕跡がないかの確認も必要になります。

世界のネットは止まる？企業が備えること

なぜ、一つの技術の問題が世界に広がるのでしょうか。多くのサービスが、共通の部品を使って作られているからです。違う会社の製品でも同じ部品に不具合があれば、各社が同時に点検や修理を迫られることに似ています。

これは、今後も世界中のウェブサービスが一斉に停止するという意味ではありません。共通の技術には、修正方法を広く共有できる利点もあります。重要なのは、問題が分かったときに、自社の影響範囲を調べ、必要な対応を取れることです。

中小企業では、「サイトは外注したから任せきり」という状態を見直したいところです。保守契約に更新作業が含まれるか、緊急時の連絡先はどこか、停止や再開を誰が決めるかを確認しておきます。

止まったときの代替手段も必要です。予約を電話で受ける、公式SNSで案内する、重要なお知らせだけは別の仕組みで表示する。すべての業務が一つのサイトに依存しないよう、準備することが役立ちます。

また、「安全のため停止しています」だけでなく、何が使えず、代わりにどうすればよいかを伝えることも欠かせません。停止中の説明の仕方が、利用者の安心を左右します。

一般の利用者が、自分のスマートフォンでPHPを修正する必要はありません。まず見るべきなのは、サービス運営者の正式なお知らせです。「復旧のために必要」などと称する不審なメールやリンクにも注意が必要です。

今回、問われたのは、危険を把握し、必要なら止め、直して再開する力です。ネットの便利さと安全を支えるには、システムを作った後も、点検や修理を続ける費用と体制が必要です。ウェブサイトの保守は、企業の信用と日々の営業を守る経営課題なのです。

文＝ KIJIKUL編集部
※本記事は情報提供を目的として作成したものであり、特定の企業、商品、サービス、金融商品、投資その他の取引を推奨または勧誘するものではありません。掲載内容は記事公開時点の公開情報等に基づいており、意見・見解・予測などは執筆者または編集部の判断によるもので、予告なく変更される場合があります。内容の正確性・完全性・最新性を保証するものではなく、最終的な判断はご自身の責任において行ってください。【KIJIKUL編集部】