PHPの弱点で、サイトが一斉に止まった夜
「止めて直す」は、だれのため？

1. PHPに重大な弱点、サイトやアプリが一斉に「緊急メンテナンス」── 首相が「大至急」、見つけたのはAI（10月21日）

なにが あったのか

世界のウェブサイトの約7割で使われているとされるプログラム言語「PHP」に、外部からの不正な操作につながる重大な脆弱性（ぜいじゃくせい＝プログラムの弱点）が2件見つかりました。PHPの開発チームは前日の20日に「21日に修正版を出す」と予告し、日本時間21日午後11時に修正版を公開しました。

これに合わせて、動画・ゲーム・漫画・銀行・自治体など、多くのサービスが修正を当てるまでのあいだ、予防のためにサイトやアプリを止めました。高市首相はXで「今夜に対応して頂きたい大至急のお願い」と呼びかけ、国家サイバー統括室も注意をうながしました。首相が個別のソフトウェアの弱点について直接呼びかけるのは異例です。アメリカのオープンAIは、自社のAIモデルが欠陥を見つけたと明らかにしています。

なぜ ニュースなのか

PHPとは、サーバー（ホームページをしまっておくコンピューター）の中で動き、見る人ごとにちがうページを、その場で組み立てるためのプログラムの言葉です。ゲームのランキング、買い物のかご、学校の連絡アプリのように「人によって中身がちがうページ」の多くは、こうしたプログラムで作られています。

組み立てる場所に弱点があると、そこから悪い命令を入れられ、ページを書きかえられたり、データを持ち出されたりするおそれがあります。だから修正版が出たら、攻撃される前に入口を閉じることが最優先になります。今回の一斉停止は、被害が出たから止めたのではなく、被害を出さないための停止です。

世界に どうひびくか

注目したいのは「先に日時だけ予告した」手順です。弱点の中身を公表すれば攻撃者に手がかりを与え、何も知らせなければ守る側が準備できません。中身は伏せ、日時だけ知らせることで、世界中の運営者が同じ夜に一斉に直せたのです。

もう一つは、AIが弱点を見つけたことです。AIは、人間では追いきれない量のプログラムを調べられます。守る側には心強い一方で、同じ力は攻める側も使えます。第42号で伝えた「AIの変化の速さ」は、セキュリティの世界でも現実になっています。

うちの子に どうかかわるか

利用者が自分のスマホやパソコンで何かをする必要はありません。PHPはサーバーの中で動くので、直すのはサービスを運営する側です。気をつけたいのは、こうした騒ぎに乗じたなりすましです。「メンテナンスのため再ログインを」「本人確認をお願いします」というメールやSMSが来ても、リンクは押さず、ふだん使っている公式アプリやブックマークから開いてください。

出典：時事通信（2026年10月22日）、日本経済新聞（2026年10月22日）、ITmedia NEWS（2026年10月22日）、ビジネス＋IT（2026年10月22日）、高市早苗首相のX（2026年10月21日）（2026年10月22日 確認）。

2. 漫画アプリや中古車サイトも止まった ── コミックシーモア、Renta!、カーセンサー（10月15日〜18日）

なにが あったのか

PHPの件の前から、大きなサービスの停止が続いていました。電子書籍のコミックシーモアは10月15日、外部からの不正アクセスが疑われるとしてサービスを止め、16日に会員情報の流出を確認したと発表しました。リクルートの中古車情報サイトカーセンサーnetは17日、不審なアクセスを検知して関連する全サービスを停止。電子書籍のRenta!も18日、サービスを一時停止しています（Renta!は、原因や情報流出の有無を調査中としています）。日本サッカー協会のアプリ「JFA Passport」でも17日に不正アクセスがありました。

なぜ ニュースなのか

攻撃の代表がランサムウェアです。ランサムウェアとは、データに暗号の「かぎ」をかけて使えなくし、元にもどす代わりにお金（身代金）を要求するわるいプログラムのこと。ランサムは英語で「身代金」です。ウイルスなどもふくめた、わるいプログラム全体はマルウェアとよばれます。

10月は、大学、クラウドの会社、飲食チェーン、証券会社の委託先と、業種を問わず被害の公表が続きました。止める判断は、被害を広げないための最初の手当てでもあります。

世界に どうひびくか

漫画アプリが止まると、読めなくなるのは子どもたちです。サイバー攻撃は、大人の会社の話ではなく、子どもの毎日にも届くことがはっきりした1週間でした。くわしい原因と一覧は「情報流出はなぜ？ランサムウェアとは」にまとめています。

うちの子に どうかかわるか

子どもが使っている漫画・ゲーム・学習アプリのうち、メールアドレスで登録しているものを1つ書き出してみてください。そのパスワードがほかと同じなら、今週中に変えましょう。流出したパスワードは、ほかのサービスへのなりすましに使われるからです。

出典：NTTソルマーレの発表（2026年10月16日）とその報道、リクルートの告知（2026年10月17日）、パピレスの告知（2026年10月18日）を伝えた各報道（2026年10月22日 確認）。

3. ワンタイムパスワードとは？パスワードの作り方は？ ── 家でできる、いちばん効く守り方

なにが あったのか

今週のようなニュースが続くと、「結局、家では何をすればいいの？」と思います。国の機関がそろって勧めているのは、パスワードの使い回しをやめる、二段階認証（多要素認証）を使う、知らないメッセージのリンクを開かないの3つです。ここでは、そのうち2つを図で説明します。

なぜ ニュースなのか

ワンタイムパスワードとは、一度しか使えない、その場かぎりのパスワードです。スマホのアプリに表示される6けたの数字が30秒ほどで次々に変わる形や、SMSで届く形があります。ふだんのパスワード（知っていること）に、スマホ（持っている物）で受け取る数字を加えるのが二段階認証です。

パスワードの作り方でいちばん効くのは長さです。1文字ふえるごとに、組み合わせの数は何十倍にもなります。たとえば英小文字だけでも、8文字なら約2088億通り、12文字なら約9.5京通りです。覚えやすい言葉を3つ4つつなげた長い文（パスフレーズ）にすると、長さと覚えやすさを両立できます。

世界に どうひびくか

どんなに強いパスワードでも、同じものを使い回すと、1か所もれただけで全部があぶなくなります。だから「強く・長く」と同じくらい「使い回さない」が大事です。全部を覚えるのがむずかしければ、スマホやブラウザのパスワード管理機能にまかせるのも一つの方法です。

うちの子に どうかかわるか

今週、家族のアカウントの中から1つだけ、二段階認証を設定してください。子どもと一緒に設定すると、「確かめるしくみ」を体で覚えられます。子どものパスワードは、名前や誕生日を使わない、友だちに教えないの2つを家の約束にしましょう。

フォートナイトとGoogleの設定の手順は、「二段階認証のやり方」に図でまとめました。フォートナイトでは、ギフトを贈るときや競技イベントに参加するときにも二段階認証が必要です。

出典：警察庁「フィッシング対策」、情報処理推進機構（IPA）「情報セキュリティ10大脅威」、国家サイバー統括室などの注意喚起（2026年10月）（2026年10月22日 確認）。組み合わせの数は編集部の計算。