2026年10月21日の夜、Xでは「リアルサマーウォーズ」という言葉があちこちで飛び交いました。

きっかけは、ネットのサイトを裏で動かしている「PHP（ピーエイチピー）」というプログラムに、大きな穴が2つ見つかったことです（専門用語では、こうした穴を「脆弱性（ぜいじゃくせい）」と呼びます）。

PHPは、手元のスマホやパソコンに入っているものではなく、ゲームやネット通販、ブログなど、ふだん見ているサイトの裏側で動いているものです。

穴を突かれると、外の人がサイトに入りこんで、預けた情報を抜いたり、ページを書き換えたりできてしまいます。

ゲームも保育園の連絡アプリも次々に「緊急メンテナンス」に入り、夜には高市早苗首相までが、Xで「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿しました。

「PHPって何？」「23時に何が始まるの？」「自分には何もできないの？」と、置いていかれた気持ちになった人も多いと思います。

難しい言葉を脇に置くと、今夜はサイトを直す人にも穴を狙う人にも、同じ時刻に同じ修正版が届いた夜でした。

修正版は、穴をふさぐための新しいプログラムのことです。


サマーウォーズと言われた投稿

騒ぎの始まりは、21日の昼すぎに国の「国家サイバー統括室」がXに出した、この呼びかけでした。

国の機関が、時刻まで指定して「準備をお願いします」と呼びかけるのは、ふだんめったに見かけません。

国家サイバー統括室は、2025年7月1日に、それまでの内閣サイバーセキュリティセンター（NISC）を組み替えてできた、国のサイバー対策のまとめ役です。

返信欄には「デジタル庁の存在意義よ」という声もありましたが、呼びかけたのはデジタル庁とは別の、内閣官房に置かれた組織でした。

 

この投稿への返信や引用に次々と貼られたのが、映画のポスターです。

『サマーウォーズ』は、2009年に公開された細田守監督のアニメ映画。

世界中の人が使う「OZ（オズ）」というネットの中の世界が乗っ取られ、交通や水道まで混乱していくなかで、主人公たちがパソコンや携帯電話、最後は花札の勝負で立ち向かうお話でした。

 

「リアルサマーウォーズ」と書いた投稿には、2つの声が混ざっています。

ひとつは、徹夜で戦うエンジニアに「頑張って」とエールを送る声です。

もうひとつは、何が起きているのか分からないまま、外から見ているしかないもどかしさをぶつける声でした。

映画でも、OZの混乱に巻きこまれた人たちのほとんどは、何が起きているのか分からないまま、画面を見ていることしかできません。

「リアルサマーウォーズ」と口にしたのは、戦っている人より、画面を見ているしかない人のほうでした。


PHPの穴を鍵と泥棒にたとえると

Xで「分かりやすい」と広まった川谷ちゃんさん（@BoyeoJuIgae）のたとえを借りると、PHPは、たくさんの家（サイト）が同じメーカーから買って使っている「鍵」のようなものです。

その鍵のメーカー、つまりPHPの開発チームから、世界中の家にこんな連絡が来ました。

メーカー「その鍵に、深刻な欠陥が2つ見つかりました。日本時間の21日夜11時に、直し方を公開します」

この「直し方」が、修正版のことです。

これを聞いた家の人（サイトを運営している会社）は、こう考えます。

家の人「新しい鍵が付くまでは、欠陥のある鍵のまま。直し方が届いたら、すぐに付け替えよう」

一方で、泥棒はこう考えます。

泥棒「夜11時に出る直し方を見れば、この鍵のどこが弱いか分かる。まだ鍵を替えていない家を探して回ればいい」

直し方は「ここを直しました」という印なので、見る人が見れば「この鍵はここが弱い」という地図にもなります。

 

映画『サマーウォーズ』の騒ぎも、始まりは「鍵」でした。

主人公の健二は、ある夜、携帯電話に届いた数字の暗号を、得意の数学で解いて送り返します。

ところがそれはOZを守る鍵の暗号で、解いた答えが悪用されて健二のアカウントが乗っ取られたところから、OZの大混乱が始まりました。

今夜の騒ぎも、鍵の弱いところが外に知られたことから始まっています。

 

しかも今回は、直し方を出す前の段階でつまずきがありました。

本当は、もっとこっそり直すはずだったのです。

大きな穴が見つかったときは、見つけた研究者と開発チームが、修正版ができるまで外には黙っておく取り決めを結ぶのがふつうです（「エンバーゴ」と呼ばれます）。

ところが日本時間の21日未明、近いうちに大きな穴が明かされることをほのめかす書きこみが海外の掲示板に出て、23日0時（22日から23日に日付が変わるころ）に出す予定だった修正版は、21日の23時へ前倒しになりました。

さらに、発見に関わったとみられる研究者の投稿には、攻撃が通る様子を映した動画まで載っていて、国内のセキュリティ会社GMO Flatt Securityは、その投稿を、黙っておく約束を破るほどの中身だという意味で「少しEmbargo破りくらいの情報量」と書いています。

今回の穴の「php2shell」という呼び名も、その研究者の投稿で使われていた名前です。

「shell（シェル）」は、コンピューターに命令を打ちこむ窓口のことで、名前そのものが「PHPを通って、外の人がサーバー（サイトのデータを置いて動かしている、運営会社の側のコンピューター）に好きな命令を打ちこめてしまう」という意味になっています。


修正版の直後が危ないのは昔から

修正版が「穴の地図」になってしまう話は、今回はじめて起きたことではありません。

マイクロソフトは2003年10月から、Windowsなどの修正版（英語では「パッチ」と呼ばれます）を、アメリカ時間で毎月第2火曜日にまとめて配っています。

この日は「パッチの火曜日」と呼ばれ、その翌日は、修正版を読み解いた攻撃が出てきやすいことから、皮肉をこめて「エクスプロイト（攻撃）の水曜日」とも呼ばれてきました。

決まった日にまとめて配るのは、守る側が準備しやすいようにするためです。

守る側が時刻を知っていれば、攻める側も同じ時計を見ています。

それでも、この配り方は20年以上続いています。

 

2021年12月には、世界中のシステムで使われている「Log4j（ログフォージェイ）」という部品（ソフトを作るときに組みこむ部品）に、「Log4Shell」と名付けられた穴が見つかり、各国が大騒ぎになりました。

このときは、穴が公表される3日前の12月6日に修正版が出ていましたが、攻撃はそれより前の12月1日ごろから始まっていたとされています。

穴が知られたとたんに攻撃が動き出すのは、今回と同じ流れです。

今年に入ってからも、7月にはWordPressの「wp2shell」（GMO Flatt Securityが7月に解説）など、「〜2shell」と名付けられた大きな穴が続いています。

今回が「異例」と言われたのは、穴の大きさだけでなく、PHPそのものの修正版の時刻が、昼のうちから世界中に知れわたっていたからでした。


OZと違ってPHPは家ごとの鍵

映画の中のOZは、買い物も役所の手続きも交通の管理も、ぜんぶがひとつの場所に集まった世界です。

だからOZが乗っ取られると、世の中がまとめて止まってしまいます。

今回のPHPも、多くの人にとっては名前も聞いたことのないものですが、ネットのあちこちで同じように使われています。

ウェブの技術を調べている海外の調査サイトW3Techsによると、裏で動いているプログラムの種類が分かっているサイトのうち、およそ7割がPHPで動いていて、ブログを作る道具として人気のWordPressも、そのひとつです。

ただ、映画と違うところもあります。

PHPは、ひとつの場所に集まった世界ではなく、たくさんの家にそれぞれ付いている鍵です。

メーカーが直し方を発表しても、鍵を取り替えるのはそれぞれの家の役目になります。

 

しかも多くの家は、業者が作って届けてくれる新しい鍵を待たなければいけません。

川谷ちゃんさんの説明では、この業者にあたるのがRed HatやAmazon、Debianといった、サーバーを動かす基本のソフトを配っている会社で、新しい鍵が届くまでに数時間から数日かかることもあります。

新しい鍵が届いて取り付け終わるまで、念のため家の外側の扉も閉めておく。

それが、今夜あちこちで始まった「緊急メンテナンス」でした。

ウマ娘やグラブルのようなゲームも、コドモンのような保育園の連絡アプリも、イラストサイトのpixivも、同じ夜にそろってこの扉を閉めています。

 

名前が同じだけで、今回の穴とは関係のない会社が、思いがけず当事者になる場面もありました。

本を出している出版社、PHP研究所の文庫のアカウントは、21日の22時すぎにこんな投稿をしています。

ところが1時間ほどたった23時半ごろ、同じアカウントは、自分たちのホームページもPHPで動いていて、メンテナンスに入ってしまったと書きこみました。

名前の由来は関係なくても、ふだん意識もしていない会社のホームページの裏側に、PHPが入っていたのです。

国家サイバー統括室の投稿への返信には「なんでサーバー側が対策しないの？」という声もありましたが、今夜手を動かしているのが、まさにそのサーバー側です。


ラブマシーンと違って敵は世界中

『サマーウォーズ』の敵は、「ラブマシーン」というひとつのAIでした。

相手がひとつなら、主人公たちはそれを追いかけて、最後に倒せば終わります。

今夜の相手は、名前も顔もない世界中の人たちで、誰かひとりを倒せば終わる話にはなりません。

 

そして今回の穴には、映画と同じく、AIも関わっていました。

OpenAIの発表によると、今回の2つの穴は、セキュリティ会社Califの研究者が、OpenAIのAI（GPT-5.6 Sol）を使って見つけたものでした。

Googleの傘下にあるセキュリティ会社Wizも、最先端のAIを使って同じ穴を別に見つけていたと説明しています。

海外の報道では、8月にはもうWordPressなどで攻撃が通ることが確かめられていたとされ、そこから2か月ほどかけて、外には黙ったまま、アメリカの政府機関などとも調整しながら修正の準備が進められてきました。

 

OpenAIは「攻撃する側より先に見つけられた」としながらも、同じ力は攻撃する側が素早く攻撃の道具を作るのにも使える、と書いています。

穴を見つけるのにAIが使われましたが、配られた修正版を読み解くのにも、同じようにAIが使えてしまいます。

映画では、数学が得意な高校生の健二が、暗号を解く力で騒ぎに立ち向かいました。

今夜サイトを直しているのは、こうして急に徹夜が決まった現場の人たちです。

 

会社の会議室では、こんなやり取りが起きているのではという声もありました。

笑い話のようですが、PHPを選んだ人が悪いわけではありません。

たくさんのサイトで使われている道具なので、穴が見つかると、そのぶん騒ぎも大きくなります。


私たちが今夜できる3つのこと

映画のクライマックスでは、世界中の普通の人たちが、花札で戦う夏希に自分のアカウントを預けて、戦いに加わりました。

現実の私たちに頼まれているのは、もっと小さな備えです。

「よろしくお願いしまぁぁぁす」は、映画のクライマックスで健二が叫ぶせりふと重なります。

サイトを持っていない人が、覚えておくと安心なのはこの3つです。

  • 同じパスワードを使い回しているなら、使っているサービスが復旧して落ち着いてから、メールのパスワードから順に別々のものへ変える（ほかのサービスの再設定の案内はメールに届くため。今夜あわてて全部変えなくてよい）
  • 2段階認証（ログインのときにスマホへ届く番号も入れる仕組み）を入れておく
  • 「直りました、パスワードを再設定してください」「緊急の本人確認」「返金のご案内」といったメールやSMSのリンクは押さず、ふだん使っている公式アプリやブックマークから確かめる

とくに、メンテナンス中のサイトのパスワードは、そのサイトが「直りました」と知らせてから変えれば間に合います。

穴が開いているかもしれない場所で、新しいパスワードを入れても意味が薄いからです。

それから、「使い回しているパスワードが◯件もあった」と、スマホの確認画面をSNSに載せるのもやめておきましょう。

同じパスワードをあちこちで使っている人だと、詐欺をする人に自分から教えることになるからです。

ブログを持っている人がやることや、パスワードを変える順番は、PHP脆弱性で個人ができる対策｜パスワード変更が復旧後でいいのはなぜ？にまとめています。


23時をめぐる3つの噂

Xでは、23時をめぐって主に3つの噂が流れていました。

1つ目は、「23時ちょうどに、世界中で一斉に攻撃が始まる」という話です。

「公開から15分ほどで大規模な攻撃が始まる」というのは、海外のセキュリティ会社Sansecが出した予想でした。

一方で、GMO Flatt Securityの解説には、21日の14時の時点で「悪用できる」とうたうプログラムが出回り始めていた、と追記されています。

「23時、もしくはそれより前」という書き方のとおり、危ない時間は、23時を待たずに昼のうちから始まっていました。

 

2つ目は、「兵器やミサイル、発電所まで動かされるのでは」「ネットにつないでいるだけで危ないから、Wi-Fiを切れ、ブレーカーを落とせ」という話です。

今回の穴はウェブサイトを動かしているサーバーの中にあり、国の呼びかけも「公開しているウェブサイト」を持つ人に向けられています。

兵器や発電所が今回の穴で動かされるという話には、確かめられる材料が見当たりませんでした。

手元のスマホやパソコン、家のルーターに穴が開いたわけでもないので、電源を切ってもサイト側の穴はふさがりません。

 

3つ目は、「この穴は14年前の2012年からあった」という話で、国家サイバー統括室の投稿への返信で語られていました。

海外の報道では、影響を受けるのはPHP 5.4.0以降のバージョンとされていて、5.4.0が出たのは2012年3月。

PHPの公式の告知で確かめられたわけではありませんが、2012年から穴があったという話は、報道と時期が合う形です。

もしそうなら、14年間だれにも見つからなかった穴を、AIを使った調べが見つけたことになります。


修正版は23時を待たずに出た

そして修正版は、予定の23時を待たずに配られました。

PHPの開発チームが修正版を出したのは21日の22時40分ごろで、国家サイバー統括室がこの投稿を出したのは22時57分。

ただ、直し方が配られても、ゲームやアプリの会社がそれぞれ鍵を付け替え終わるまでは、そのサービスの穴は開いたまま残ります。

Xで速報を続けている「三日前」さん（@expokun）は、公開の前から攻撃の報告が出ていることから、「今から攻撃が始まる」のではなく、いままでの対応をさらに急ぐ段階だ、と整理していました。

 

このあと各サイトは、修正版に取り替えて、問題がないかを確かめてから、サービスを戻していく流れです。

GMO Flatt Securityの解説では、サイトを持っている側向けに、設定を少し変えて攻撃の一部をかわすやり方も紹介されていますが、それも「あくまで一時しのぎ」とされています。

すぐに取り替えられないサイトは、取り替えが終わるまで公開を止めたり、見られる人を絞ったりするほうが安全です。

アプリのREALITYのように、メンテナンスの終わりを24時に置いて、作業によっては延びるかもしれないと知らせていたところもあります。

メンテナンスが長引くと不安になりますが、三日前さんも書いているとおり、サービスを止めるのは情報を守るための予防であることも多く、「止まった＝もう漏れた」という意味ではありません。

 

再開のお知らせによく書かれる「不正アクセスは確認されていません」は、「いまのところ見つかっていない」という意味。

入られていたかどうかは、何日も、ときには何か月もたってから分かることがあります。

しばらくは、使っているサービスのお知らせに目を通しておいてください。


インターネットは終わらなかった

日付が変わるころ、Xには「何も起きなかった」という声が広がり始めました。

19時からサービスを止めて備えていたpixivも、公式アカウントで、21日の23時30分にメンテナンスを終えて再開したと知らせました。

イッチ速報さんがまとめているとおり、22日の午前1時の時点では、「ネットが半壊した」ような大規模な被害の報告は出ていません。

 

イッチ速報さんの投稿への返信には、リスクは大きく叫んで、大したことがなければ笑い話でいい、緊急地震速報と同じで防災訓練のようなものだ、という声が並びました。

2000年問題を思い出す人もいます。

あのときも、世界中のエンジニアが前もって直していたおかげで、当日は大きな混乱が起きずにすみました。

何も起きなかったように見えたのは、前もって手を動かした人たちがいたからです。

映画は一晩で決着がつきましたが、現実は修正版が世界中のサイトに行き渡るまで、しばらく時間をかけて少しずつ片づいていく、ということですね。