2026年10月21日の夜、高市早苗首相が自身のXで「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿しました。

お願いの中身は、「PHP（ピーエイチピー）」という、ネットのサイトを裏で動かすプログラムに見つかった2つの重大な脆弱性（ぜいじゃくせい）、つまりセキュリティの穴への備えです。

PHPの開発チームは、この穴をふさぐ修正版を、予定していた日本時間21日の23時を待たずに公開しました。

穴を狙われるのに備えて昼すぎから、コドモン（保育園の連絡アプリ）やpixiv、グラブルやウマ娘といったゲームまでが次々にサービスを止めました。

 

「自分のスマホで何かしなきゃいけないの？」「パスワードを全部変えたほうがいい？」と、迷っている人も多いと思います。

先に答えを言うと、アプリを使うだけの人は今夜パスワードをあわてて変えなくても大丈夫です。

変えるのは、使っているサービスが「直りました」と知らせて落ち着いてからで間に合います。

まだ直っていないサイトで打ち直すと、新しいパスワードまで読み取られてしまうおそれがあるからです。

今夜やっておきたいのは、メールなど大事なサービスに2段階認証を入れることくらいで十分です。

反対に、ブログを1つでも持っている人は、今夜のうちに動いておきたいところです。


高市首相が呼びかけた相手

首相がお願いしているのは、「公開しているウェブサイトでPHPを使用しているか確認」することと、23時の修正版を「可及的速やかに適用できるよう準備」することです。

PHPを使っているかどうかを確かめられるのは、サイトを持っている側だけ。

つまり、この「皆様」は自分でウェブサイトを持っている人のことでした。

 

では、なぜ「サイト運営者の皆様」ではなく、ただの「皆様」だったのでしょうか。

首相がどんなつもりでこの言葉を選んだのかは分かりませんが、ひとつの数字を見ると、ただの「皆様」と書かなければ届かない人がたくさんいることが分かります。

個人のブログやお店のホームページでおなじみのWordPress（ワードプレス）は、調査会社W3Techsの数字で、世界のウェブサイトの39.6%で使われています。

そのWordPressを動かしているのがPHPで、レンタルサーバー（ブログを置く場所を月いくらで貸してくれるサービス）を借りて趣味のブログを書いているだけの人も、この持ち主に入ります。

持ち主の多くは、自分が「サイト運営者」だとは思っていないので、「運営者の皆様」と書けば、いちばん届けたい人ほど自分のことだと気づきません。

 

私たち個人でいえば、今夜やることは立場で2通りに分かれます。

  • アプリやサイトを使うだけの人
  • ブログやお店のサイトを自分で持っている人

使うだけの人がスマホの前で慌てている一方で、ブログを持っている人は「自分には関係ない」と思いこんでいる。

今夜いちばん危ないのは、慌てていないほうの人たちです。


アプリを使うだけの人がやること

使うだけの人が今夜やっておくと安心なのは、次の3つです。

  • 同じパスワードの使い回しがないか確かめる
  • 2段階認証（パスワードに加えて、スマホに届く番号などでも本人かを確かめる仕組み）を入れる
  • 止まったサービスの再開は、公式アプリか公式Xで確かめる

使い回しをやめておけば、どこか1つのサイトから漏れても、ほかのサービスまでは開けられません。

2段階認証があれば、パスワードを知られても、それだけでは入られずに済みます。

3つ目は、今夜から出回りそうな便乗の詐欺から身を守るためのものです。

PHPが動いているのは、それぞれの会社のサーバー（サイトのデータを預かっているコンピューター）の中なので、アプリを入れ直しても、設定をいじっても、穴そのものはふさがりません。


直っていないサイトのパスワードは知らせを待つ

「総点検」したくなる気持ちは分かりますが、パスワードは、どのサイトのものをいつ変えるかで、意味がまったく違ってきます。

今回の穴は、悪用されると外からサーバーを乗っ取られ、中の情報を抜かれたり、勝手に書き換えられたりするおそれがあると、Sansec（サンセック）など海外のセキュリティ会社は見ています。

もし、まだ直っていないサイトがすでに入りこまれていたら、そこで新しく打ちこんだパスワードも、同じように読み取られてしまうかもしれません。

変えたばかりのパスワードが、また抜かれてしまうわけです。

だから、そのサイトのパスワードを変えるのは、運営会社が「対応が終わった」と知らせてから（知らせは公式アプリか公式Xで確かめます）。

 

もうひとつ、今夜あちこちのお知らせに出てくる「不正アクセスや情報漏えいは確認されていません」という一文を、そのまま「大丈夫」と受け取らないほうが安心です。

これは「入られていない」と言い切っているわけではなく、「いまのところ、入られた形跡は見つかっていない」と言っています。

2024年にPHPの別の重大な穴が見つかったときも、国の情報セキュリティの窓口である情報処理推進機構（IPA）が「国内の複数の組織で悪用されていた」と注意を呼びかけたのは、修正版が出た翌月の7月5日でした。

IBMの2025年の調査では、会社が情報の流出に気づいて封じこめるまでに、平均で241日かかっています。

「直りました」のお知らせのあとに、「じつは漏れていました」というお知らせが、ずっとあとから届くこともあるのです。

直ったと知らされたあとも、しばらくはカードの明細や通販の注文履歴に、身に覚えのないものがないかを見ておくと安心です。

 

同じパスワードの使い回しは、いつかはやめておきたいものです。

トレンドマイクロが2026年3月に出した調査では、パスワードを使い回している人は84.3%だったと報じられています。

どこか1つのサイトから漏れたら、同じパスワードのほかのサービスまで、まとめて開けられてしまいます。

とはいえ、使っているサービスのパスワードを全部変えるのは、現実にはかなり大変です。

メールのパスワードも今夜あわてて変えなくてよく、使っているサービスが復旧して落ち着いてから変えるのがおすすめです。

そのときは、まずメールアカウントのパスワードから。

ほかのサービスのパスワード再設定の案内は、たいていメールに届くので、メールを取られたら全部を取られたのと変わりません。

 

全部は変えられないという人は、代わりに次のどれかをしておくだけでも、守りはぐっと固くなります。

  • メール・銀行・クレジットカード・よく使う通販など、取られたら困るものだけ2段階認証を入れる
  • 知らない場所からログインがあったら知らせてくれる「ログイン通知」をオンにする
  • スマホやブラウザのパスワード保存機能を使い、これから変えるものから少しずつ別々のパスワードにする

2段階認証は、直る前に入れておいても困ることはないので、今夜のうちにどうぞ。

 

使い回しがどれくらいあるかは、スマホでも確かめられます。

Xでは、スマホで自分のパスワードの状態を確かめた画面を載せて、「もう終わりだよこれ」と嘆く投稿も広がっていました。

写っていたのは、Googleのパスワード管理機能にある「パスワード チェックアップ」という画面です。

ChromeやAndroidでGoogleアカウントにパスワードを保存している人なら、ブラウザで passwords.google.com を開いて「パスワード チェックアップ」を選ぶか、Chromeのメニューから「Google パスワード マネージャー」を開いて「チェックアップ」へ進むと、同じ画面が見られます。

iPhoneの人は、「パスワード」アプリの「セキュリティ」の項目で、似た確認ができます。

ここに出る「不正使用されたパスワード」は、過去にどこかのサイトから漏れたデータに、同じパスワードが見つかったという意味で、今夜のPHPの穴で漏れたという意味ではありません。

件数が多くてもあわてず、メールや銀行など大事なものから、復旧後に少しずつ変えていけば大丈夫です。

ただ、この画面のスクリーンショットを、SNSに載せるのはやめておきましょう。

「使い回しているパスワードが◯件あります」という画面を人に見せることは、この人は同じパスワードをあちこちで使っていると、詐欺をする人に自分から教えてしまうことになるからです。

画面の端に、メールアドレスや使っているサービスの名前が写りこんでいることもあります。


便乗の詐欺メールに使われる言葉

今夜から数日は、こんな言葉の入ったメールやSMSが、本物の会社からも詐欺からも届きやすくなります。

  • 「緊急メンテナンスのお知らせ」
  • 「セキュリティ強化のためパスワードを再設定してください」
  • 「不正アクセスを検知しました」
  • 「あなたの情報が漏れている可能性があります」
  • 「下記URLよりパスワードを変更してください」

本物と同じ時期に、本物と同じ言葉で届くので、文面だけで見分けるのはほとんど無理。

運営会社の「直った」を待っている人は、詐欺をする人から見れば、「直りました、再設定してください」と送るだけで扉が開く相手でもあります。

だから見分けるより、メールやSMSのリンクは使わないと決めてしまうほうが確実でしょう。

再開の案内もパスワードの再設定も、ふだん使っている公式アプリか、自分で登録したブックマークから開けば、届いたメッセージが本物かどうかを考えずに済みます。


「Webの8割」と「前代未聞」の中身

Xには、こんな強い言葉で書かれた投稿もありました。

危ないのは本当です。

ただ、数字と過去の例を確かめると、本当に怖いのは「8割」や「15分」より、修正の時刻が前もって世界中に知らされていたことのほうです。

 

まず「Webの約8割」。

W3Techsの数字は、裏側でどの言語を使っているかが外から分かるサイトのうち69.3%がPHP、というもので、ネットのサイト全部の8割ではありません。

「15分」は、Sansecが「修正版の公開から15分以内に大がかりな攻撃が始まる」と見ていた予想で、実際にそうなったかは、まだ確かめられていません。

 

次に「前代未聞」という言葉。

Xでは「前代未聞の戦争が始まる」という投稿も広がりました。

PHPの穴がすぐに攻撃に使われたのは、今回が初めてではありません。

  • 2012年5月　古い動かし方（CGI版）のPHPの穴を狙った攻撃を、日本IBMが検知して対策を呼びかけ
  • 2024年6月　Windowsで動くPHPの重大な穴が公表され、すぐに攻撃が始まる

今回とくに目立ったのは、穴の中身より、「何月何日の何時に、どれだけ重い穴の直し方が出るか」が、前もってPHPの公式サイトで世界中に知らされていたことです。

しかも、穴の公開が近いことをほのめかす書きこみが日本時間21日の未明に海外の掲示板へ出て、もともと日本時間23日0時の予定だった修正版の公開は21日23時へ早まり、実際にはその23時も待たずに出ました。

守る側がその時刻に向けて準備を進める一方で、GMO Flatt Securityという国内のセキュリティ会社は21日の午後、悪用できるとうたうプログラムが出回り始めていると伝えていて、同じ時刻に向けて攻める準備をしている側もいます。

修正版がなぜ攻める側の地図にもなってしまうのかは、PHP脆弱性問題が『リアルサマーウォーズ』と言われる理由で、会話の形にして書いています。

この予告を知らないまま今夜を過ごしているのが、自分がサイトの持ち主だと気づいていない人たちです。


レンタルサーバーでも放置はできない

「共用のレンタルサーバーでWordPressを動かしているなら、とくにすることはない」という声には、Web制作の仕事をしている人が「全部大嘘です」と強い言葉で訂正しています。

サーバーに入っているPHPを修正版に入れ替えるのは、たしかにレンタルサーバーの会社の仕事です。

でも、いつ・どうやって入れ替えるかは会社ごとに違うので、借りている会社のお知らせは、自分の目で確かめるしかありません。

WordPress専門のセキュリティ会社Patchstackも、共用サーバーを借りている人には、いつ修正を入れるのかを会社に確かめるよう勧めていました。

 

「管理画面が止まっているから、会社が守ってくれている」と思うのは、まだ早いです。

たとえば大手のレンタルサーバー会社のエックスサーバーは、21日16時から管理画面などを一時停止しました。

止めたのは申し込みや管理のための画面で、借りている人のサイトはふだんどおり表示され続けています。

 

レンタルサーバーの会社が引き受けるのは、サーバーそのものと、そこに入れたPHPの入れ替えまで。

その上に置いたWordPressやプラグイン（あとから足す追加機能）、そして会社が用意したバージョンのうちどれで動かすかの選択は、借りている人の手元に残ります。

共用のサーバーだから会社が守ってくれると思っていたのに、たくさんのサイトが書き換えられた前例もあります。

2013年には、大手のレンタルサーバーのロリポップで、8,438人分のサイトが書き換えられる被害が起きました。

はじめはWordPressのプラグインなどの弱いところが入口とされ、のちに会社側の設定の不備が根本の原因だったと説明されています。

利用者が入れたプラグインの弱さと、会社の設定の不備が重なると、共用のサーバーでも一度に何千ものサイトが巻きこまれてしまうのです。


WordPressの更新では直らない

ブログを持っている人が勘違いしやすいのは、ふだん押しているWordPressの「更新」で、PHPまで新しくなると思ってしまうことです。

WordPressの本体やプラグインの更新ボタンを押しても、その下で動いているPHPは入れ替わりません。

WordPressが家具だとすれば、PHPは家が建っている地面。

WordPressがいくら最新でも、PHPが古ければ穴は開いたままです。

 

PHPには、ひとつのバージョンにつき、出てから2年は普通に直し、そのあと2年は重大な穴だけ直す、合わせて4年のサポート期間があります。

今回の修正版が出たのは、まだサポートが続いているPHP 8.2から8.5までの4つのバージョンで、そのうち8.2も2026年12月31日でサポートが終わります。

8.1のサポートは2025年12月31日に、7.4は2022年11月28日にもう終わっていて、PHPの開発チームも8.1以前には、ふだんの更新は出さないと発表しました。

自分でPHPを組み立てる人向けに、7.4・8.0・8.1にも最小限の修正は出されましたが、開発チームが勧めているのはサポート中のバージョンへの切り替えです。

レンタルサーバーでブログを動かしている人にとっては、新しいバージョンへ切り替えることが、いちばん確実な直し方になります。

 

では、その古いバージョンで動いているWordPressはどれくらいあるのか。

WordPressの公式の統計では、10月21日の時点で、サポートの終わったPHP（8.1以前）で動いているWordPressが約36%、7.4以前だけでも約22%ありました。

PHPの公式の発表では、サイトのページを表示するために動いているPHPは、すべて危険があるとされました。

つまり、WordPressのサイトのおよそ3つに1つは、PHPを新しいバージョンへ切り替えないかぎり、ふだんの修正版を受け取れないということです。

何年も前に作って、そのまま更新していない趣味のブログや、お店のホームページは、まさにこの中に入っているかもしれません。

 

まず確かめたいのは、自分のブログがどのバージョン（版）のPHPで動いているか。

WordPressなら、管理画面の［ツール］→［サイトヘルス］→［情報］と進み、「サーバー」の欄にある「PHPバージョン」で見られます。

ブログを持っている人は、今夜こんな順番で動いておくと安心です。

  • サイトヘルスでPHPのバージョンを見る
  • 借りているサーバー会社のお知らせを読む
  • サイトのバックアップを取る
  • 8.2以降なら、サーバー会社が修正版（8.2.35・8.3.36・8.4.27・8.5.12）を入れたかをお知らせで確かめる
  • 8.1以前なら、サーバーの管理画面で新しいバージョンへ切り替える
  • 「これで防げる」とうたう非公式のプラグインや設定は入れない

最後の非公式の「修正」は、Patchstackが使わないよう呼びかけているもの。

PHPの開発チームも、設定の変更は一部の攻撃の道をふさぐだけで、更新しか完全な対策はないとしています。

サイトの手前で怪しい通信をはじくCloudflareというサービスも、無料プランを含めて攻撃を止める仕組みを入れましたが、これもあくまで一時しのぎです。


直せないサイトは一度止める

首相の投稿には、修正版をすぐに入れるのが難しい場合は「ウェブサイト等を一時的に停止させること」も、リスクを下げる有効な手のひとつだ、という一文も入っていました。

実際に、自分の事務所のサイトをすぐ止めたと書いた政治家もいます。

コドモンやpixivが、23時を待たずにサービスそのものを止めたのも、直しきれないうちは止めておこうという、同じ考え方からです。

個人のブログなら、メンテナンス中の表示に切り替えるか、サイトを一時的に非公開にするのが、いちばん手軽な止め方です。

 

「うちみたいな小さなブログを、わざわざ狙う人はいない」と思うかもしれません。

個人の小さなサイトに、ふだんの1週間でどんな通信が届いていたかを、持ち主自身が調べた表があります。

表に載っているのは、10月13日から19日までの1週間の記録です。

パスワード類を盗もうとする探りや、WordPressの弱点を探す通信が合わせて約7,500件、1日に数百件から1,200件ほど届き、自動で弱点を探して回る仕組みからも約3,500件が来ていました。

PHPの騒ぎが起きる前の、何でもない1週間でこの数です。

こうした攻撃は、穴の開いたサイトを機械が自動で探して回っていて、サイトの大きさは関係ありません。

 

2024年の国内の被害のように、入りこまれたサイトには外から操るための裏口を置かれることがあります。

裏口というのは、一度入りこんだ人が、あとから何度でも出入りできるように置いていく仕掛けで、穴をふさいだあとも残ってしまいます。

何日か記事を出せないのは痛手ですが、裏口を仕込まれたサイトを元に戻す手間に比べれば、ずっと軽く済むはずです。

使うだけの人は大事なサービスに2段階認証を1つ入れるところから、ブログを持っている人はサイトヘルスでPHPのバージョンを確かめるところから始めれば十分です。

首相の「皆様」には、自分がサイトの持ち主だと気づいていない人もちゃんと入っているということですね。