PHPへの攻撃で日本のサイトが相次ぎ停止：情報流出より先に広がった経済被害

Webサイトの構築に広く使われているプログラミング言語「PHP」に重大な脆弱性が発見され、日本国内でサービス停止が相次いでいる。ネットショップ、オンラインゲーム、行政サービス、大学など、影響は幅広い分野に及んでいる。

今回の問題で注目すべきなのは、大規模な情報流出が確認される前から、企業や自治体がサービスを停止し、経済的な損失が発生していることだ。

PHPの脆弱性を悪用されると、攻撃者が外部から不正なプログラムを実行し、サーバーを乗っ取る危険がある。顧客情報の流出やWebサイトの改ざんなどにつながるおそれもある。そのため、企業や自治体は安全性を確認するまでサービスを停止する対応を取っている。

2026年10月21〜23日のPHPの重大な脆弱性「PHP2Shell」では、GMOグループをはじめ、ネット通販、ゲーム、行政、医療などで具体的なサービス停止が発生している。

影響が顕著だったのはGMOペパボだ。同社が運営する「ロリポップ！」「ヘテムル」などのレンタルサーバーでは、利用者が運営するWebサイトそのものが一時停止した。ネットショップ作成サービス「カラーミーショップ」でも商品の閲覧や購入ができなくなった。

さらにラクスの業務システム、Cygamesの関連サービス、自治体の公式サイトなどにも停止が広がった。攻撃による情報流出が確認されなくても、ネット販売や業務、行政サービスが止まるという実害は生じている。

企業・サービス	具体的な影響
GMOペパボ「ロリポップ！」	一部サーバー上の利用者サイトを停止。10月22日13時11分に再開
GMOペパボ「カラーミーショップ」	ネットショップの閲覧、商品購入、管理画面などを停止。22日8時49分にメンテナンス完了
GMOペパボ「ヘテムル」	一部サーバー上の利用者サイトを一時停止
「ムームーサーバー」「WPホスティング」	修正版適用まで利用者サイトを一時停止

なお、GMOグローバルサインもPHPへの対策を公表しているが、電子証明書の発行サービス自体が停止したという意味ではない。

その他の具体的なサイト・サービス

企業・組織	停止・制限されたサービス
Cygames	Cygames WebStore、Cygames Eventsなど
ラクス	楽楽販売、楽楽勤怠など7サービス
コドモン	保育施設・保護者向けサービス
pixiv	pixiv、ピクシブ百科事典、pixivFANBOXなど
Creema	ハンドメイド商品の販売サイト・アプリ
エックスサーバー	公式サイト、サーバーパネル、Webメールなど
厚生労働省	介護サービス情報公表システム
札幌市	市公式ホームページを簡易サイトに切り替え
大阪府	報道発表、統計資料、申請・届出などの検索機能
龍谷大学	公式サイト、学内ポータルへの学外からのアクセス
阪神電気鉄道	公式Webサイトの一時停止

これらにはPHPとの関連を公式に明示したものと、同時期に安全確保のための停止を告知したものが混在している。すべてをPHPによる侵入被害と断定することはできない。

PHPはWordPressをはじめ、多くのWebサイトや業務システムで利用されている。今回の問題では、PHPそのものの脆弱性が、業種の異なるサービスに同時に影響した。

国内のレンタルサーバー各社も緊急対応に追われた。エックスサーバーやさくらインターネットなどは修正プログラムの適用を進め、一部の事業者では管理画面やWebメールなどの機能を一時停止した。

企業が個別に十分なセキュリティ対策を講じていても、共通して利用するソフトウェアに重大な欠陥が見つかれば、一斉に対応を迫られるのだ。

10月22日時点で、仙台市やOPTiMは今回の問題に関連する不正アクセスや情報流出などを確認していないと公表しているが、攻撃を受ける前にサービスを止めなければならないという事実そのものが、インターネットに依存する経済の弱点を示している。

予防的に停止する判断は合理的だが、問題は、そうした緊急停止に社会全体がどれだけ備えているかだろう。今回のPHP騒動は、サイバーセキュリティが企業活動や公共サービスの継続を左右する経済問題であることを浮き彫りにした。