2026年10月のPHP脆弱性は、ゲームの緊急メンテやWEBサービスの停止を招き、サービス終了の判断にもつながった重大な問題です。ウマ娘やSEGA IDが対応を告知し、ワールドクエストは10月21日にサービスを終了しました。

いつものゲームに入れない。ショップの管理画面が開かない。今回の騒動は、技術担当者だけの話ではありません。利用者の楽しみや買い物、事業者の売上機会にもかかわる出来事です。

まず押さえたいのは、利用者がすることと、サーバーを運営する人がすることは異なるという点です。この記事ではPHPの役割から今回の報告の中身までを整理し、あなたの立場で必要な行動を説明します。

参考（外部）：ウマ娘公式：PHP脆弱性への対応に伴うメンテナンスの告知
SEGA ID公式：PHPの脆弱性対応に伴う緊急メンテナンス
ワールドクエスト公式：2026年10月21日のサービス終了告知

参考（外部）：PHP公式：PHP 8.5.12の公開案内 ／ PHP公式：PHP 8.4.27の公開案内
PHP公式：PHP 8.3.36の公開案内 ／ PHP公式：PHP 8.2.35の公開案内

監修者：アドマノ株式会社　代表取締役　天野剛志

SEOとLLMOの専門家。大学では経営法学を専攻。広告代理店で営業を12年経験。SEOは草創期から独学で研究し、100以上のサイトで検証しつつノウハウを蓄積。2012年にAI検索最適化（LLMO/AIO/GEO/AEO/SEO）専門会社［国内・海外］アドマノ株式会社を設立。2000社以上のSEO/LLMO支援実績が大手企業からグローバル企業まで国内、海外（アメリカ、ヨーロッパ、アジア）に豊富。SEO書籍6冊LLMO書籍1冊「海外SEO 成功メソッド」「2026 LLMOはこうする」「2025 SEOはこうなる」「経営者向け DX新時代に中小企業が生き残る最新企業戦略」「ChatGPT×SEOライティング実践技術」「Breaking into JAPAN SEO」「東京SEOメーカー2023年最新SEO対策完全ガイド」刊行。YouTube動画の東京SEOメーカーAIO戦略室【世界基準でSEO / LLMOを設計するプロ集団】チャンネル登録者数23600人。SEOコンサルティングとLLMOコンサルティングのプロフェッショナル。

東京SEOメーカー編集部

東京SEOメーカーのブログでは、SEOとその他webマーケティングを中心に発信しています。社内の独自調査と実績による一次情報をもとに執筆しており、読んでいただいた方が参考になるような有益性の高い情報を執筆しています。

PHPとは、WEBサービスをサーバー側で動かすための言語

PHPとは、サーバー側でプログラムを動かし、画面に表示する情報などを作るためのプログラミング言語です。

スマートフォンで画面を開くと、裏側のサーバーではさまざまな処理がおこなわれます。たとえば会員情報を確かめたり、注文の内容を保存したりする処理です。PHPは、こうした仕組みを作るために使われます。

お店にたとえると、利用者が見る画面は売り場、サーバーはバックヤードです。PHPは、バックヤードで注文を受け取り、必要な情報を用意する役割を担います。すべてのゲームやWEBサービスがPHPを使っているわけではありません。

参考（外部）：PHP公式：PHPの役割とできること

今回の修正対象は、PHPで書いた個々のプログラムを動かすPHP本体

今回の修正対象は、個別サイトの画面や文章ではなく、PHPのプログラムを実行するPHP本体です。

言語としてのPHPと、それを動かすソフトウェアとしてのPHPは同じ名前で呼ばれます。今回のニュースでPHPを更新すると説明しているのは、サーバーに入っている実行用ソフトウェアを修正するという意味です。

WordPressもPHPで動きます。そのため、WordPress本体やプラグインを更新済みでも、サーバー側のPHPが未修正なら今回の対応は完了しません。

参考（外部）：PHP開発元：CVE-2026-109618の技術情報 ／ PHP開発元：CVE-2026-109619の技術情報
WordPress公式：サイトヘルスの確認画面

今回のPHP脆弱性では、外部からサーバーを不正に操作されるおそれが報告された

今回の報告は、PHPに2件の重大な弱点があり、条件がそろうと外部からサーバーに不正な処理を実行させられるという内容です。

脆弱性とは、安全を守る仕組みにある弱点のことです。今回の問題は、攻撃者が管理画面にログインしなくても悪用できる可能性があります。管理者のパスワードを強くするだけでは、原因を解消できません。

CVEは、弱点を区別する共通の整理番号です。今回の2件はいずれも、深刻さを表すCVSS v4で9.2とされています。これは被害に遭う確率が92％という意味ではありません。

不正な処理が動けば、PHPがアクセスできる情報を読まれたり、データを書き換えられたりする危険があります。ただし、攻撃の成立条件や被害の範囲は環境によって異なります。必ずサーバーの全権限を奪われるという話ではありません。

参考（外部）：PHP開発元：CVE-2026-109618の技術情報 ／ PHP開発元：CVE-2026-109619の技術情報

10月21日に修正版が公開され、対応は適用と確認の段階に進んだ

PHPの修正版は2026年10月21日に公開されており、現在必要なのは自社環境への適用と反映の確認です。

公開前の案内だけを読むと、修正版を待つ段階だと受け取る場合があります。情報を探すときは公開日と更新日を確認し、PHP公式と契約先の最新案内を照らし合わせてください。

参考（外部）：PHP公式：PHP 8.5.12の公開案内 ／ PHP公式：PHP 8.4.27の公開案内
PHP公式：PHP 8.3.36の公開案内 ／ PHP公式：PHP 8.2.35の公開案内

対象はWordPressだけではなく、PHPでWEBアクセスを処理する環境

PHP公式は、WEBからのアクセスを処理するPHP環境を広くリスクの対象としており、WordPressや特定のOSだけの問題ではありません。

ゲームの会員機能、企業のWEBサイト、業務用の管理画面などでもPHPが使われる場合があります。普段利用しているサービスが対象かどうかは、そのサービスの公式発表で判断してください。

技術担当者は、PHP-FPMやmod_phpなどの実行方式も含めて確認します。ファイルを送信する画面がないことや、Linuxを使っていることだけでは対象外と判断できません。

参考（外部）：PHP公式：2026年10月21日の重大脆弱性に関する勧告

社会的な影響は、ゲームの緊急メンテからWEBサービスの終了にまで広がった

社会的な影響として、ゲームや共通IDの緊急メンテが相次ぎ、更新への対応が難しいサービスでは終了や一時閉鎖の判断も出ています。

以下は、運営者の公式告知で確認できる代表例です。メンテナンスによる一時停止と、サービスそのものの終了は区別する必要があります。

ゲームでは、プレイだけでなくログインや決済にも影響する

ゲームへの影響はプレイできないことだけにとどまらず、共通IDを使うログインや決済にも及びます。

SEGA IDの告知では、新規登録やパスワードの再設定も停止対象に含まれています。ゲーム本体の画面が開いても、アカウントに入れなければ利用できません。

この事例からわかるのは、大型サービスでは共通の機能が止まると、複数の利用場面に影響が広がるということです。イベントの参加期限や購入への対応は、ゲームごとの案内を確認する必要があります。

参考（外部）：SEGA ID公式：PHPの脆弱性対応に伴う緊急メンテナンス

日常生活でも、保育・教育施設への連絡を別の手段に切り替える動きが出た

同時期のサービス停止は日常生活にも及び、保育・教育施設への欠席連絡を電話に切り替える案内も出ています。

コドモンは、使用するソフトウェアの重大な脆弱性を理由に、保護者アプリを含む全サービスを予防的に停止しました。吉備中央町は、欠席連絡などが使えないとして電話での連絡を案内しています。

同社は10月22日3:22に、所在確認アラート機能を除いてサービスを再開したと追記しました。なお、この公式告知はソフトウェア名をPHPと明記していません。PHPを明示する前述の事例と分けて扱う必要があります。

参考（外部）：コドモン公式：全サービスの予防的停止と再開の続報 ／ 吉備中央町：コドモンのサービス停止と欠席連絡の案内

ワールドクエストは、十分な対策が難しいとしてサービス終了を選んだ

ワールドクエストは、古いシステムでは十分な脆弱性対策が難しいとして、2026年10月21日にサービスを終了しました。

公式告知は、利用者の情報を守るための判断と説明しています。PHPを使うすべてのサービスに終了が必要という意味ではなく、このサービスの構成と継続判断に基づく事例です。

一方、俺屍家系図ジェネレータの告知は一時閉鎖です。管理人は、OSのサポートが切れた環境では修正の適用まで進めず、環境を新しくする必要があると説明しました。再開の見通しは確約されていません。

この2つの事例は、日頃の保守状況が緊急時の選択肢に影響することを示しています。サイトが動いていることと、安全に更新できる状態を保っていることは別です。

参考（外部）：ワールドクエスト公式：2026年10月21日のサービス終了告知 ／ 俺屍家系図ジェネレータ管理人：一時閉鎖のお知らせ

サービスの停止は、情報漏えいが確認されたという意味ではない

緊急メンテや予防的な停止だけを根拠に、情報漏えいや不正アクセスが発生したとは判断できません。

SEGA IDとコドモンは、それぞれの告知時点で本件に起因する被害や情報漏えいなどを確認していないと説明しています。ただし、その発表は各サービスの確認状況であり、ほかのサービスの安全まで保証するものではありません。

参考（外部）：SEGA ID公式：PHPの脆弱性対応に伴う緊急メンテナンス ／ コドモン公式：全サービスの予防的停止と再開の続報

一般ユーザーがすべきことは、公式案内と自分の利用状況の確認

一般ユーザーが最初にすべきことは、公式のメンテナンス案内を確認し、必要に応じて利用履歴や連絡手段を確かめることです。

今回の修正作業をおこなうのは、基本的にサーバーを管理する事業者です。ゲームの利用者が自分の端末にPHPを入れ直しても、運営側のサーバーは修正されません。

復旧時刻や代替手段は、サービスの公式サイトで確かめる

復旧の見通しや代替手段は、サービスの公式サイトや公式SNSで確認してください。

保存している公式サイトや、普段から使っているアプリから案内を開いてください。別のサイトへの誘導を避けるうえで役立ちます。検索広告や突然届いたメッセージの案内だけで、修正ソフトを入れたり、認証情報を渡したりしないことが大切です。

復旧が遅れていても、根拠のない再開予測で行動する必要はありません。公式発表の更新日時と、次回の案内予定を確認してください。

パスワード変更は、公式の指示や不審な利用の有無に応じて判断する

パスワード変更は、サービス側の指示や不審なログインの有無に応じて判断し、今回の修正作業と区別してください。

PHPの弱点はパスワードを変更するだけでは解消しません。一方で、身に覚えのないログインや購入があれば、公式窓口への連絡とアカウント保護が必要です。

パスワードの使い回しを避け、使えるサービスでは2段階認証を設定することは、普段の防御に役立ちます。情報漏えいが公表された場合は、対象範囲と運営者の案内に従って対応してください。

サービス終了の場合は、データや購入履歴に関する案内を保存する

サービス終了が発表された場合は、データの扱いや未使用の有料残高などについて、運営者が出す案内を保存してください。

確認するのは、データの取り出し・問い合わせ窓口・購入に関する手続きです。すべてのサービスで同じ対応がおこなわれるわけではないため、個別の告知を基準にします。

メンテナンスの長期化だけで、ゲームのデータが消えたと決めつけることも避けてください。停止期間とデータの状態は別の確認事項です。

WEBオーナーがすべきことは、更新担当者と自社サイトへの修正反映の確認

WEBオーナーは、PHPを更新する担当者を特定し、今回の2件の修正が自社サイトに反映されたかを確認してください。

自分でPHPを書いた覚えがなくても、WordPressや業務システムが使っている場合があります。まずは契約しているサービスとサーバーの管理範囲を整理します。

WordPressではサイトヘルスを確認し、サーバー会社の修正情報と照合する

WordPressでは管理画面のサイトヘルスでPHPの情報を確認し、サーバー会社が公開する修正情報と照合します。

基本の経路は、ツール→サイトヘルス→情報→サーバーです。管理画面に入れない場合は、復旧のために無理な操作を重ねず、サーバーの管理パネルや保守会社で確認してください。

たとえばPHP 8.3系なら、今回の公式修正版は8.3.36です。WordPressを更新済みでもPHPが未修正なら、サーバー側の対応確認が残ります。

参考（外部）：WordPress公式：サイトヘルスの確認画面 ／ PHP公式：PHP 8.3.36の公開案内

技術担当者がコマンドで確認するPHPと、実際のWEBサイトを動かすPHPが異なる構成もあります。確認対象は本番のWEB処理で使われているPHPです。

参考（外部）：PHP公式：コマンド用PHPと実行方式の違い

管理会社への依頼は、2件のCVEと反映範囲を明記する

管理会社への依頼には2件のCVE番号を記載し、更新の予定だけでなく、本番への反映結果を回答してもらいます。

以下は問い合わせに使える文面例です。契約先と対象サイトの名称を補って利用できます。

更新後は、表示だけでなく問い合わせ・購入などを確認する

更新後はページの表示に加え、問い合わせや購入など事業に必要な機能が動くかを確認します。

たとえば店舗サイトなら予約、ECサイトなら注文、会員サイトならログインが重要です。決済はテスト環境や提供会社の手順を使い、確認のために不要な実決済を発生させない運用にします。

停止中の案内には、使えない機能と代替の連絡先を載せてください。安全性を確認する前に公開を戻すのではなく、修正の反映と主要機能の確認をそろえて再開します。

関連記事：WEB担当者の役割と必要な知識を確認する

今回のPHP脆弱性を修正したバージョンは8.5.12・8.4.27・8.3.36・8.2.35

今回の2件を修正した公式バージョンは、PHP 8.5.12・8.4.27・8.3.36・8.2.35です。

8.3や8.4といった系列の名前だけでは、今回の修正が入ったかは判断できません。最後の数字まで確認し、提供元のセキュリティ情報と照合してください。

提供元が独自に修正する場合は、表示番号だけでは判定しない

OSや保守サービスの提供元が修正を組み込む場合は、表示されるPHPの番号だけで安全・危険を決められません。

その場合は、両方のCVEに対応したという提供元の案内と、適用したパッケージの情報を確認します。修正済みのファイルを置いただけでなく、稼働中のPHPに反映されていることも必要です。

参考（外部）：CERT-EU：PHPの重大脆弱性に関する緊急勧告

PHP 8.1以前は、緊急修正の確認とサポート中の系列への移行を分けて考える

PHP 8.1以前では、今回の緊急修正の有無を確認すると同時に、通常サポートがある系列への移行を計画する必要があります。

PHP公式は例外的に7.4・8.0・8.1向けの最小限のソース修正も案内しています。ただし、通常サポートの再開を意味しません。利用中の提供元が対応版を用意しているか、適用できるかを管理者が確認します。

PHP 8.2のセキュリティサポートは2026年12月31日までです。今回の修正だけで保守が終わるわけではなく、次の移行も予定に入れる必要があります。

参考（外部）：PHP公式：2026年10月21日の重大脆弱性に関する勧告 ／ PHP公式：サポートが終了したバージョン ／ PHP公式：サポート対象バージョンと終了日

大型サービス運営者がすべきことは、全環境の修正と再開判断の一元管理

大型サービス運営者は、PHPを使う環境を漏れなく把握し、修正・再開判断・利用者への告知を一元管理する必要があります。

ゲームやプラットフォームでは、表側の画面が1つでも、ログイン・決済・管理機能を複数の環境で処理している場合があります。1台の修正や1回の画面確認だけでは、全体の対応完了を示せません。

最初に、公開中のPHPと共通機能の依存先を洗い出す

最初の作業は、外部からアクセスできるPHPの配置と、共通IDや決済などの機能が依存する環境の洗い出しです。

英国NCSCも、PHPを使う環境の把握と、外部公開された環境を優先した対応を求めています。担当部署ごとに確認を任せるだけでなく、全体の責任者が対象・担当・修正状況をまとめて把握します。

参考（外部）：英国NCSC：PHPを利用する組織への対応案内

たとえばアクセス増加に合わせてサーバーが増える構成では、増設元が古いままだと未修正の環境が再び立ち上がります。今動いている環境だけでなく、これから動く環境まで確認対象に含めることが必要です。

再開は、修正・業務機能・侵害の兆候を確認して判断する

サービス再開は、修正の反映と主要機能の動作に加え、侵害を疑う兆候の確認結果をそろえて判断します。

この表は本記事の運用提案です。確認に異常が見つからないことだけで、侵入がなかったと完全に証明できるわけではありません。疑わしい動きがあれば、証拠を保全し、専門の担当者による調査を進めます。

更新後に不具合が出た場合も、未修正の環境をそのまま外部へ戻す判断は避けます。公開を制限した状態で切り分け、修正を維持できる構成での復旧を検討してください。

告知には、停止範囲・利用者の行動・次回更新を具体的に書く

利用者への告知には、停止する機能・必要な行動・次回の情報更新予定を具体的に書きます。

告知には、ログイン・購入・データ閲覧のどれが使えないかを示します。使える機能がわかれば、利用者も次の行動を判断できます。再開時刻が未定なら未定と伝え、根拠のない時刻を出さないことも大切です。

また、障害の影響を受けるアプリ内だけに告知を置くと、利用者が情報を読めません。公式サイトや別の稼働状況ページなど、停止対象と切り離した連絡経路を用意する運用が役立ちます。

すぐに修正できない場合は、管理者が公開制限と代替手段を判断する

すぐに修正できない場合は、管理者が外部からのアクセス制限や一時停止を判断し、利用者への代替手段を用意します。

CERT-EUは、修正できないシステムをインターネットから隔離する対応を勧告しています。停止する機能と継続できる機能を整理し、PHPを処理させない方法で制限することが重要です。

参考（外部）：CERT-EU：PHPの重大脆弱性に関する緊急勧告

WordPressのメンテナンス用プラグインで案内画面を出しても、その裏でPHPが動き続ける構成があります。表示を切り替えたことと、問題のある処理へ到達できなくしたことを同じと考えないでください。

一時的な設定変更や防御製品だけでは、修正完了と判断しない

一時的な設定変更や防御製品の利用だけでは、今回の2件への修正が完了したとは判断できません。

PHP公式は一部の攻撃経路を減らす設定を案内していますが、完全な対策は修正版の適用です。設定には実行方式ごとの条件があり、コピーして追加するだけで全環境を守れるものではありません。

担当者が公式の最新情報を確認し、修正までの補助策として扱ってください。一般ユーザーやWEBオーナーが意味を理解しないままサーバー設定を変えるより、管理者に修正状況と公開制限を確認することが先です。

参考（外部）：PHP公式：2026年10月21日の重大脆弱性に関する勧告

今後に備えるには、動く状態だけでなく更新できる状態を保つ

今後の備えは、サービスが動く状態を維持するだけでなく、安全に更新できる状態を保つことです。

古いPHPやOSに依存するシステムでは、緊急の修正を入れる前に大きな移行が必要になる場合があります。今回の一時閉鎖や終了の告知は、日頃の保守を続ける意味を考える材料です。

たとえば小規模サイトなら、管理会社と年単位の移行予定を共有することが、更新の先送りを防ぐのに役立ちます。大型サービスなら、稼働中のサーバーだけでなく増設元まで同じ基準で保守することが必要です。

関連記事：サイバーセキュリティの基礎と対策を確認する

PHP脆弱性のよくある質問

PHP脆弱性への対応は、利用者なら公式案内の確認、運営者ならPHPの修正反映が基本です。よくある疑問を整理します。

まとめ：PHP脆弱性は、自分の立場に合った行動と修正の確認が重要

今回のPHP脆弱性への対応では、利用者・WEBオーナー・大型サービス運営者が、それぞれの役割を果たすことが重要です。

緊急メンテが相次ぎ、サービス終了の事例も出た背景には、広く使われるPHP本体の重大な問題があります。停止の告知を見ただけで被害を決めつけず、公式情報と確認済みの事実を基準に判断してください。

更新を実施したという連絡だけで終わらせず、実際に動いている環境への反映まで確認することが、サービスを守るための一歩です。