10月21日の夜、ネットショップ作成サービスの「BASE」、保育施設向けの「コドモン」、pixiv、DMM.com、niconico、人気ゲームの「ウマ娘」──国内の有名なサービスが、次々と止まりました。銀行や自治体の一部のシステムも同じです。

その背景にあったのは、多くのWebサイトの裏側で動いているプログラミング言語 「PHP」 に見つかった、重大な弱点（脆弱性）でした。修正版が出る直前に、各社が 攻撃を警戒して、先にサービスを止めた のです。高市早苗首相もXで、修正を急ぐよう呼びかけました。

そして、この弱点を見つけたのは AI でした。

何が起きたのか

PHPは、Webサイトの裏側で動くプログラミング言語です。サイト作成で広く使われる WordPressもPHPで書かれており、調査会社W3Techsによると、サーバー側の言語が分かっているWebサイトの 約7割がPHPを使っています（ITmedia NEWS）。

今回見つかった弱点は2件。悪用されると、ログインしなくても、外部からサーバー上で好きなプログラムを動かされる おそれがあります。深刻度は、10点満点の評価で 9.2（最も深刻な「緊急」レベル）。セキュリティ業界では「php2shell」と呼ばれています。

  • 対象：Webサイトを表示するために動いているPHP全般。10年以上前の版から、いま使われている版まで広く影響します
  • 修正版：PHP開発チームが 10月21日夜（日本時間23時ごろ） に、8.5.12／8.4.27／8.3.36／8.2.35 を公開
  • 完全な対策は、修正版への更新だけ。PHP開発チームも、セキュリティ企業も、そう明言しています（BleepingComputer）

一晩で、国内のサービスが次々止まった

PHP開発チームは前日（20日）に「21日の23時（日本時間）に修正版を出す」と予告していました。そこから、国内では 修正版が出た直後の攻撃を警戒して、先にサービスを止める動き が一気に広がります（Impress Watch）。

  • 21日午後から、BASEやコドモンがメンテナンス入り。pixiv、DMM.com、niconico、さくらインターネットの一部サービスも緊急メンテナンスに
  • 20時すぎからは多くのサービスが一時停止。ゲームでは「グランブルーファンタジー」「ウマ娘 プリティーダービー」なども
  • 銀行なども一部サービスを停止し（共同通信）、自治体の中にはシステムの一時停止を予告するところもありました

セキュリティの事件をまとめているブログ「piyolog」の集計では、告知や報道で確認できただけで、サービスを止めるなどした組織は200を超えました。

国も動きました。情報処理推進機構（IPA）や国家サイバー統括室が、PHPを使っているかの確認と、修正版をすぐ当てる準備を呼びかけ。高市首相も21日21時55分にXで「可及的速やかに適用できるよう準備をお願いする」と投稿し、すぐに適用できない場合は、ウェブサイトの一時停止なども「リスクを低減させるための有効策のひとつだ」と述べました（日本経済新聞）。海外でも、オランダやフィンランドなどの政府機関が予防的にサイトを止めたと報じられています（The National）。

※止めた理由を「PHPのため」と明記していない告知もあります。また報道によれば、多くは攻撃を受けたからではなく、攻撃を警戒して 「念のため、先に止めた」 ものです。

見つけたのは、AIだった

発見の経緯について、OpenAIは21日（米国時間）に次のように発表しました（ITmedia AI＋、Impress Watch）。

  • OpenAIがオープンソースの安全を支援する取り組み「Patch the Planet」の一環で、米国のセキュリティ企業 Calif が、OpenAIのAI 「GPT-5.6 Sol」 を使って弱点を見つけた
  • Google傘下のセキュリティ企業 Wiz も、独自に2件とも見つけて報告した
  • 修正はPHPの開発者が主導し、OpenAIは約2か月かけて、Wiz、Cloudflare、米国政府などと公開に向けた準備を調整した

Wizは自社の発表で、自社の道具に加え、Googleの 「Gemini 4 Argon」 とGPT-5.6 Solを使ったと説明しています。注目したいのは、AIの役割が「見つける」だけではなかったことです。Wizによれば、AIは 弱点を理解して実際に動く攻撃の手順に組み立てること、そして 修正がきちんと効くかの確認 にまで使われました。Wizは今回の件を「AIの転換点」と表現しています（Wiz）。

「攻撃者より先に見つけた」は、どこまで本当か

OpenAIは、この問題を「近年で最も影響の大きいセキュリティ問題の一つ」と位置づけ、同社の知る限り、攻撃者より先にAIで見つけられた としています。ただし、これは OpenAI自身の説明 です。

実際には、修正版が出る前に情報の一部が外に漏れ、Cloudflareは 顧客を狙う攻撃の通信を観測した と公表しています（Cloudflare）。一方で、侵害の確かな証拠はまだ見つかっていないとするセキュリティ企業もあり（piyologのまとめより）、被害の全体像はまだ分かっていません。

「AIのおかげで先回りできた」面と、「それでも一晩で多くのサービスが止まった」面。今回の件には、その両方があります。

なぜ、中小企業の話なのか

理由は3つあります。

1つ目は、自社のホームページの多くがPHPの上で動いていること。 会社案内、問い合わせフォーム、予約ページ、ネットショップ。WordPressなどPHPで作られた仕組みを使っていれば、その裏側ではPHPが動いています。

2つ目は、AIで「穴が見つかってから攻撃されるまで」が短くなっていること。 OpenAI自身が「同じ能力は、攻撃者が攻撃の道具を素早く作るのにも悪用されうる」と懸念しています。IPAも、攻撃者が「極めて短時間」で攻撃を実行する可能性があるとして、修正版の速やかな適用を求めました（IPA）。

3つ目は、こうした緊急の更新が、これから増えそうなこと。 OpenAIは、今回の弱点は自社が見つけた複数の重大な弱点の一つにすぎず、「同様の発見は今後数カ月で急増する」と予想しています。AIが弱点を見つける力を持った以上、「たまに起きる事件」だった緊急の更新が、定期的に来るもの になっていくかもしれません。

中小企業のホームページが先に確かめるべき3つ

① サイトの「土台」と「更新する人」を書き出す

まず、自社のサイトが何で動いていて、PHPの更新を誰がやるのか を確認しましょう。

  • レンタルサーバー：PHP本体の更新は、通常はサーバー会社が行います。サーバー会社の告知を確認しましょう
  • VPSや自社のサーバー：更新するのは、自社か委託先です
  • 制作会社に任せている：保守の契約に「PHPなど土台の更新」が入っているかを確認しましょう
  • ネットショップ作成サービスなどのクラウドサービス：更新はサービスの提供会社が行います。今回のように一時停止することはあるので、告知の確認先を把握しておきましょう

会社案内のサイトだけでなく、予約システムや問い合わせフォーム、ネットショップも洗い出しておくと安心です。

② PHPの「版（バージョン）」がサポート中か確かめる

今回の修正版が公式に出たのは、8.2以降の版 です。8.1以前は、すでにサポートが終わっていて、通常の修正版が出ません（一部のOSや有償サポートの提供元が、独自に修正を出す場合はあります）。IPAも「サポートが終了した古いPHPを使い続けているサイトも見受けられる」と注意を促しています。

レンタルサーバーの管理画面や、制作会社への問い合わせで、自社サイトのPHPの版を確かめましょう。古い版のままなら、新しい版への切り替えを検討します。ただし、切り替えるとサイトの一部が動かなくなることもあるため、テーマやプラグインの動作確認を含めて、制作会社やサーバー会社と相談しながら 進めるのが安全です。

③ 「止める判断」を先に決めておく

今回、多くの大手サービスが「修正が済むまで、いったん止める」を選びました。首相も、すぐに直せない場合の一時停止を「有効策のひとつ」としています。

中小企業でも、誰が「サイトを止める」と決めるのか、制作会社とサーバー会社の連絡先、「ただいまメンテナンス中です」の案内文 を、平時のうちに用意しておきましょう。なお、Cloudflareのような防御サービス（WAF）は攻撃を減らせますが、Cloudflare自身が「それでもPHPは更新すべき」としています。防御サービスは更新の代わりにはなりません。

まとめ

AIが見つけた弱点をきっかけに、一晩のうちに国内の有名なサービスが次々と止まりました。AIは守る側の強い味方にもなりますが、同じ力は攻める側にも渡ります。弱点が見つかるペースも、攻撃されるまでの時間も、AIの速さで動き始めています。

中小企業がやることはシンプルです。土台と更新する人を把握する。PHPの版がサポート中か確かめる。止める判断を先に決めておく。次の「緊急の更新」が来る前に、この3つを済ませておきましょう。

あわせて読みたい

参考

本記事は複数の公開情報をもとに作成しています。被害の状況や各社の対応は、今後の発表で変わる可能性があります。