2026年10月21日、インターネット上でちょっとした騒ぎが起きました。
普段利用しているサイトを開こうとすると、「メンテナンス中」と表示されたり、ページそのものが開けなかったり。
さらに、高市早苗総理大臣までX（旧Twitter）で緊急対応を呼び掛けるという、異例の事態になりました。
原因は「PHP（ピーエイチピー）」というプログラミング言語に見つかった重大な脆弱性です。
そもそもPHPって何？ 脆弱性ってどういう意味？ サイトはハッキングされたの？
今回は、そんな疑問をIT初心者の方にも分かりやすく解説していきます。
※この記事は2026年10月22日朝までに確認した情報をもとに作成しています。
そもそもPHPとは？
PHPとは、主にWebサイトの裏側で動いているプログラミング言語です。
例えば、ネットショッピングで商品をカートに入れたり、会員サイトにログインしたり、ブログの記事を表示したり。
こうしたWebサイトのさまざまな機能にPHPが利用されています。
有名なブログ作成システム「WordPress（ワードプレス）」もPHPを使用しています。
調査会社W3Techsによると、サーバー側で使用している言語が判明しているWebサイトのうち、およそ7割がPHPを利用しています。
つまり、私たちが日常的に見ている多くのサイトを支える技術なのです。
脆弱性って何？
脆弱性（ぜいじゃくせい）とは、プログラムやシステムに存在するセキュリティ上の弱点のことです。
家に例えるなら、玄関の鍵はしっかり閉まっていても、窓の鍵に問題があれば、そこから侵入される危険があります。
コンピューターも同じです。
今回PHPで発見されたのは、内部のメモリ処理に関する2つの重大な問題でした。
攻撃者が特殊なデータを送り込むことで、条件によっては、ログインしていないのにサーバー上で不正なプログラムを動かせてしまう可能性があります。
これを「遠隔コード実行（RCE）」と呼びます。
もし悪用されると、情報の窃取、サイトの改ざん、サーバーへの侵入などが起こるおそれがあります。
今回の脆弱性の危険度は、国際的な評価基準で10点満点中9.2点。
非常に深刻な問題として扱われました。
2026年10月21日に何が起きた？
PHPの開発チームは、重大な2件の脆弱性を修正するプログラムを公開すると発表しました。
これを受け、日本ではIPA（情報処理推進機構）などが、サイト運営者に迅速な対応を呼び掛けました。
そして10月21日夜、高市総理大臣もXで緊急対応を要請しました。
修正プログラムは同日午後11時前後に公開されました。
しかし、修正プログラムが公開されたからといって、世界中のサイトが一斉に安全になるわけではありません。
それぞれの運営者がプログラムを更新し、問題なく動作するか確認する必要があります。
そこで多くの運営者が、作業中の安全を確保するためにWebサイトを一時停止したのです。
サイトが表示されない＝ハッキングされた？
ここは誤解しないようにしたいところです。
今回表示されなくなったサイトの中には、実際に攻撃を受けたからではなく、攻撃を防ぐために自主的に停止したものが多数あります。
例えば、飲食店で設備に重大な不具合が見つかった場合、お客様の安全を確保するため、一時的に営業を休止することがあります。
Webサイトでも同じように、危険性を確認して修正するまでサービスを停止する判断が行われたのです。
日本では財務省や自治体、一部のゲームサービス、企業サイトなどで停止や緊急メンテナンスが実施されました。
一方、海外では今回の脆弱性を狙った攻撃通信も観測されています。
つまり「すべてのサイトが被害に遭ったわけではない」ものの、「実際に攻撃される危険がある問題」なのです。
海外でも同じことが起きている？
はい。今回の騒動は日本だけではありません。
ヨーロッパでは、ドイツ、フランス、オランダ、ベルギー、フィンランドなどで、政府機関や公共サービスのWebサイトが一時停止しました。
アメリカのNSAやイギリスの国家サイバーセキュリティセンターも、速やかな更新や、必要に応じた一時停止を勧告しています。
また、インターネットのセキュリティサービスを提供するCloudflareは、今回の攻撃を防ぐための対策を実施したと発表しました。
世界各国で同時に対策が行われていることからも、今回の問題の大きさが分かります。
実はAIも関係していた！
今回のニュースでもう一つ興味深いのが、AIの存在です。
PHP FoundationやOpenAIなどの発表によると、今回の脆弱性の調査にはAI技術が活用されていました。
以前から存在していたプログラムの弱点について、AIを使った研究によって、実際に攻撃できる危険性が明らかになったのです。
AIがPHPに欠陥を作ったわけではありません。
これまで発見や検証が難しかった問題を、AIの力で発見・分析できるようになってきた、ということです。
ただし、AIは攻撃する側も利用できます。
今後はこうしたセキュリティ問題が、これまで以上のスピードで発見・悪用される可能性もあります。
私たちは何をすればいい？
普段Webサイトを見るだけの人
基本的に、今回のPHPの問題を修正するのはサイトの運営者です。
利用者がスマホやパソコンにPHPの修正プログラムをインストールする必要は通常ありません。
サイトがメンテナンス中なら、公式のお知らせを確認し、再開を待ちましょう。
ただし、今回の騒動に便乗した偽の案内や、不審な更新プログラムには注意してください。
WordPressでブログを運営している人
WordPressを使っている場合は、サーバーで動いているPHPのバージョンを確認しましょう。
WordPressの管理画面から、
「ツール」→「サイトヘルス」→「情報」→「サーバー」
と進むとPHPのバージョンを確認できます。
今回の脆弱性に対応した主な修正版は以下のとおりです。
| PHP系列 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
古いPHPを利用している場合は、サーバー会社が独自の修正を提供していることもあるため、公式案内を確認してください。
なお、PHPのバージョン変更によって、テーマやプラグインが正常に動かなくなる場合もあります。
バックアップや互換性を確認してから更新することが大切です。
今回の問題はWordPress本体ではなくPHPにあるため、WordPressだけ更新しても解決しません。
まとめ：なぜサイトが止まったのか
今回のニュースをまとめると、
- PHPという広く使われている技術に重大な弱点が見つかった
- 攻撃されるとサーバーが不正に操作される危険がある
- 世界中の政府機関や企業が緊急対応した
- 多くのサイトは被害を防ぐために一時的に停止した
- 修正プログラムは公開済みだが、各サイトで更新が必要
ということです。
普段は何気なく見ているWebサイトも、実はさまざまなプログラムによって支えられています。
今回の騒動は、そうした見えない部分の安全管理がどれほど大切なのかを知る機会になったのではないでしょうか。
今後も状況によって新たな情報が出てくる可能性がありますので、公式発表を確認していきたいと思います。
コメント