PHPの脆弱性をわかりやすく解説

2026年11月5日 2026年11月5日

kikuchi@fujidenki

ニュースやSNSで「Webサイトが一斉にメンテナンスに入った」「大手サービスやゲームが止まった」という報道が相次ぎました。
財務省のサイトまで一部停止したり、首相の公式アカウントが注意喚起を出したりと、かなりの大騒動になりました。
その原因と言われているのが「PHP（ピーエイチピー）の脆弱性（ぜいじゃくせい）」です。
「PHP？脆弱性？なんのことやら……」という方に向けて、今回の騒動で何が起きていたのか、難しい専門用語を使わずにサクッと解説します

そもそも「PHP」ってなに？

PHPは、ウェブサイトの裏側で働いているプログラミング言語（コンピューターへの指示文）のことです。
普段私たちがウェブサイトを見ているとき、裏側ではPHPがこんな仕事をしています。

ネットショップ：検索した条件に合う商品を画面に出す
ブログ（WordPressなど）：投稿された記事をきれいに整理して表示する

実は、世の中のウェブサイトのうち約7割でこのPHPが使われています。
私たちが日常的に使っているサイトのほとんどにPHPが関わっている、と言っても言い過ぎではありません。

何がそんなに危険だったのか

今回、このPHPに重大なセキュリティの欠陥（＝脆弱性）が見つかりました。
具体的に何が危険だったかというと・・・

「IDやパスワードを入力しなくても、外から勝手に怪しいプログラムを実行できてしまう」

という状態になっていたのです。

もし悪意のある攻撃者に狙われた場合、以下のような被害が出るおそれがありました。

Webサイトの表示が勝手に書き換えられる
サイトに保存されている個人情報や重要なデータが盗まれる

サイト管理者がどれだけ強力なパスワードを設定して鍵をかけていても、その裏口（欠陥）から入られてしまうため、非常に危険な状態だったのです。

なんでこんなに大騒ぎになったの？

「欠陥が見つかったなら直せばいいじゃん」と思いますが、今回は修正するためのプログラム（対策）が完成して配られる前に、欠陥の情報がネット上に漏れてしまったのです。

修正版が出る前に情報が漏洩
攻撃のやり方を示す動画やデータまで拡散されてしまう
攻撃者には「攻撃の手がかり」が渡ったのに、サイト側はまだ修正プログラムが手に入らない状態に！

まさに「泥棒に鍵の破り方がバレたのに、家主は新しい鍵に付け替えられない」というピンチに陥ってしまいました。
そのため、多くの企業やサービスは「攻撃される前にサイトを一旦閉じてガードしよう！」と考え、緊急メンテナンスを実施したのです。
大手ショッピングモール、SNS、ソーシャルゲーム、さらには政府機関のサイトまで一斉に停止したため、大きな話題となりました。