2026年10月21日の夜、国内の多くのWebサービスが、ほぼ同じ時間帯に止まりました。理由は、PHPの重大な脆弱性(通称PHP2Shell)への備えです。
この日の出来事が珍しいのは、多くのサービスが、修正版が出る前に止まったことです。中身がまだ公開されていない欠陥のために、売上の出ているサービスを自分から止める。経営としては重い判断です。この記事では、PHPの脆弱性によるサービス停止の判断の分かれ目を、公開情報から整理します。10月23日時点の情報です。
何が止まったのか
Impress Watchの報道によると、21日の午後から夜にかけて、BASE、コドモン、pixiv、DMM.com、niconico、さくらインターネットの一部サービス、グランブルーファンタジー、ウマ娘 プリティーダービーなどが、メンテナンスや一時停止に入りました。
PHPの修正版が出たのは、日本時間21日の23時ごろです。つまり、これらのサービスは修正版を待つ間、止まっていたことになります。日経クロステックによると、22日の時点で、ピクシブやコドモンなどが再開、または一部再開しています。
止めた理由 修正版が出る前の数時間が一番危ない
止める判断を後押ししたのは、2つの事情だと考えられます。
1つは、情報が予定より早く流れたことです。修正版はもともと22日に出る予定でしたが、20日に脆弱性の識別番号がSNSなどに流れ、PHPは公開を21日23時に前倒しすると予告しました。攻撃者が先に中身を知っている可能性がある中で、修正版が出るまで何もできない時間が生まれました。
もう1つは、公的機関の強い呼びかけです。米国のCISAは、すぐに更新できない場合はPHPで動くシステムをオフラインにするよう求めました。欧州では、EUの機関のセキュリティ対応チームであるCERT-EUが事前の準備として、修正を当てるまで外部から切り離すことも検討するよう呼びかけたと報じられています。
動かし続けた例 止める範囲を絞る
一方で、全部を止めなかった例もあります。エックスサーバーの告知によると、21日の12時から自社と利用者の環境に一時的な緩和策を入れ、16時からは自社のサービスサイトや管理画面を予防的に止めました。利用者のサーバーは動かし続け、22日6時45分にPHP 8.2〜8.5、12時に7.4〜8.1、14時に5.6〜7.3の修正を終えています。さくらインターネットも、サポートの終わった古いPHPを含めて修正を当てたと公表しています。
止めるか動かすかは二択ではなく、どこを止めるかの選択でもあります。自社の管理画面のように、止めても顧客への影響が小さいところから止める。顧客のサイトのように止められないところは、修正版が出た瞬間に当てる準備をしておく。この分け方は参考になります。
判断の材料になるもの
私が相談を受けた会社で、止めるかどうかの話し合いで実際に使った材料は、次の4つでした。
- そのサービスはインターネットに公開されていて、誰でもアクセスできるか
- PHPのどの動かし方か(Apacheのmod_phpは最も危ないとされた。サーバーの担当者や制作会社に聞けば答えられる)
- 止めた場合の損失と、侵入された場合の損失(顧客情報が入っているか)
- 修正版が出てから、何時間で当てられるか
4つ目に答えられない会社が、一番困っていました。PHPのバージョンを確かめる方法も、更新の手順も、誰が判断するかも決まっていない。その結果、夜中に担当者を呼び出すことになった会社もあります。
次に慌てないための準備
今回のPHPの脆弱性によるサービス停止は、どの会社にも起こりうる練習問題だったと思います。次に同じことが起きたときのために、平時に決めておきたいのは次の3つです。
まず、自社のサービスがどの言語やミドルウェア(PHPやデータベースなど、サービスの土台になるソフト)の、どのバージョンで動いているかの一覧。次に、重大な欠陥が出たときに、サービスを止める権限が誰にあるか。最後に、修正を当てるまでの手順と、かかる時間の見込みです。サイトの運用を外部に任せている場合は、重大な欠陥が出たときに何時間で対応してもらえるかを、契約で確かめておくことも加えてください。
自社のサイトのPHPのバージョンの確かめ方は、別の記事にまとめました。
棚卸しの作業そのものは、AIの道具に手伝わせることもできます。Claude Codeで複数のサーバーのPHPのバージョンを一覧にした例は、こちらです。
