[対応中][深刻度：中][Web脆弱性の悪用]

php2shell：PHPの重大な脆弱性

PHP本体の重大な脆弱性2件の詳細が修正前に流出し、国内では省庁や自治体、銀行、企業などが予防的にWebサイトやサービスを止めた。

掲載組織はすべて予防的な停止で、被害を受けた組織としては掲載していません。

公表日

2026-10-21

脆弱性

PHP本体の2件の脆弱性（CVE-2026-109618、CVE-2026-109619、CVSS v4.0 9.2）は、認証なしでサーバー上の任意のコード実行につながるおそれがある。 [1] [2]

何が起きたか

脆弱性の詳細は、修正版の公開前に流出した。

2026-10-21
国内でBASE、コドモン、pixiv、DMM.com、ニコニコなどが、修正前に予防的にサービスを止めた。 [3]
2026-10-21 23:00
PHPが8.5.12、8.4.27、8.3.36、8.2.35を公開した（日本時間23時ごろ）。 [1]

呼びかけと悪用

国家サイバー統括室と高市首相は、一時停止も有効な対策だと呼びかけた。 [3]

Cloudflareは、悪用の試みが数百万件に達したと報告している。 [6]

国内で止まったサイトとサービス

影響は全国に広がり、次のような組織がWebサイトや一部サービスを予防的に止めた。

国の機関：最高裁判所、財務省、国土交通省、文部科学省、消費者庁など
自治体：宮城県、滋賀県、香川県、福岡県など42の都道府県と、横浜市、名古屋市、京都市、福岡市など260を超える市区
銀行：三菱UFJ銀行と、北洋銀行、横浜銀行、福岡銀行、千葉銀行、京都銀行、広島銀行など各地の地方銀行
交通と電力：ANA、JAL、スカイマーク、スターフライヤー、AIRDO、JR西日本、小田急電鉄、名古屋鉄道、東北電力、四国電力
ネットサービスとゲーム：BASE、コドモン、pixiv、DMM.com、ニコニコ、楽天グループ、LIFULL、セガやバンダイナムコのグループ会社
そのほか：百貨店やスーパー、大学、地方の放送局や新聞社、プロ野球やJリーグのクラブ

経緯

公表 2026-10-21
1日

攻撃・原因の概要

攻撃手法: [Web脆弱性の悪用]
被害の種類: [サービス停止]
侵入経路: Webアプリ

漏洩した（恐れのある）情報

–

影響を受けたサービス

サービス	被害の経路	影響度
いせはらくらし安心メール	[予防的に停止]	[中]
いわぎんアプリ	[予防的に停止]	[中]
いわてモバイルメール	[予防的に停止]	[中]
エブリカ・エブリイアプリ	[予防的に停止]	[中]
エリアメール	[予防的に停止]	[中]
すい坊くん	[予防的に停止]	[中]
対話式メール110番	[予防的に停止]	[中]
どうぎんアプリ	[予防的に停止]	[中]
どこでも災害・避難情報	[予防的に停止]	[中]
DoboX	[予防的に停止]	[中]

関連組織

[予防的に停止][中]茨城県水戸市警察
茨城県警察
聴覚などに障害のある人がチャットで通報できる「対話式メール110番」を予防的に止め、警察庁の110番アプリの利用を呼びかけた。
[予防的に停止][中]岩手県盛岡市都道府県
岩手県
県のWebサイトで緊急メンテナンスを行い、一部機能が使えなくなった。防災情報などを届ける「いわてモバイルメール」も22日9時30分から一部の配信を止めた。
[予防的に停止][中]東京都千代田区情報通信業
株式会社NTTドコモ
セキュリティ対応のため、緊急速報「エリアメール」の一部と「どこでも災害・避難情報」の配信を止め、その後再開した。日本経済新聞はPHPの脆弱性への対応と伝えた。
[予防的に停止][中]東京都港区情報通信業
ソフトバンク株式会社
10月22日に一部サイトやサービスを一時停止。PHPへの対応で23日6時47分から緊急速報メールの配信を止め、25日9時25分に緊急地震速報と津波警報の配信を再開した。国や自治体の災害・避難情報は、26日のメンテナンス完了まで止める予定だった。
[予防的に停止][中]広島県広島市中区都道府県
広島県
土砂災害ポータル「DoboX」を21日21時、「ひろしま道路ナビ」を22日11時に止めた。
[予防的に停止][中]青森県青森市金融業，保険業
株式会社青森みちのく銀行
個人向けアプリなど一部のサービスを10月21日夜に停止。
[予防的に停止][中]東京都板橋区市区町村
板橋区
防災メールの一部や電子図書館、学校ホームページなどを止め、一部は26日も止めたままだった。
[予防的に停止][中]神奈川県小田原市市区町村
小田原市
予防措置として、おだわら防災ナビと電子図書館をメンテナンスのため止めた。
[予防的に停止][中]埼玉県春日部市市区町村
春日部市
問い合わせフォームや安心・安全情報メール、学校向けのサービスなどを一時止めた。23日時点で、外国語翻訳やマイナンバーカードの申請サポート、子育て支援サイトは止めたままだった。
[予防的に停止][中]東京都国分寺市市区町村
国分寺市
PHPへの対応で、防災アプリやマイナンバーカード申請支援、ホームページの意見送信フォームなどを止めた。

						備考
茨城県警察	[予防的に停止]	[中]	茨城県水戸市	警察	不明	聴覚などに障害のある人がチャットで通報できる「対話式メール110番」を予防的に止め、警察庁の110番アプリの利用を呼びかけた。
岩手県	[予防的に停止]	[中]	岩手県盛岡市	都道府県	不明	県のWebサイトで緊急メンテナンスを行い、一部機能が使えなくなった。防災情報などを届ける「いわてモバイルメール」も22日9時30分から一部の配信を止めた。
株式会社NTTドコモ	[予防的に停止]	[中]	東京都千代田区	情報通信業	不明	セキュリティ対応のため、緊急速報「エリアメール」の一部と「どこでも災害・避難情報」の配信を止め、その後再開した。日本経済新聞はPHPの脆弱性への対応と伝えた。
ソフトバンク株式会社	[予防的に停止]	[中]	東京都港区	情報通信業	不明	10月22日に一部サイトやサービスを一時停止。PHPへの対応で23日6時47分から緊急速報メールの配信を止め、25日9時25分に緊急地震速報と津波警報の配信を再開した。国や自治体の災害・避難情報は、26日のメンテナンス完了まで止める予定だった。
広島県	[予防的に停止]	[中]	広島県広島市中区	都道府県	不明	土砂災害ポータル「DoboX」を21日21時、「ひろしま道路ナビ」を22日11時に止めた。
株式会社青森みちのく銀行	[予防的に停止]	[中]	青森県青森市	金融業，保険業	不明	個人向けアプリなど一部のサービスを10月21日夜に停止。
板橋区	[予防的に停止]	[中]	東京都板橋区	市区町村	不明	防災メールの一部や電子図書館、学校ホームページなどを止め、一部は26日も止めたままだった。
小田原市	[予防的に停止]	[中]	神奈川県小田原市	市区町村	不明	予防措置として、おだわら防災ナビと電子図書館をメンテナンスのため止めた。
春日部市	[予防的に停止]	[中]	埼玉県春日部市	市区町村	不明	問い合わせフォームや安心・安全情報メール、学校向けのサービスなどを一時止めた。23日時点で、外国語翻訳やマイナンバーカードの申請サポート、子育て支援サイトは止めたままだった。
国分寺市	[予防的に停止]	[中]	東京都国分寺市	市区町村	不明	PHPへの対応で、防災アプリやマイナンバーカード申請支援、ホームページの意見送信フォームなどを止めた。

組織検索で表示

出典

[1][公式発表]Security advisory: Critical remote code execution vulnerabilities, update nowThe PHP Group · 2026-10-21
[2][当局]PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)IPA · 2026-10-22
[3][報道]多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？INTERNET Watch · 2026-10-22
[4][報道]プログラム言語「PHP」重大弱点さくらネット、対応で機能一部停止日本経済新聞 · 2026-10-21
[5][公式発表]【重要】10月21日(水) 22:00からの緊急メンテナンスのお知らせSTUDIO · 2026-10-21
[6][報道]PHP「緊急」脆弱性悪用の試み、数百万件に CloudflareのCEOが報告ITmedia NEWS · 2026-10-22
[7][公式発表]PHP脆弱性情報を受けた一部サービスの利用停止について山梨中央銀行 · 2026-10-21
[8][公式発表]プログラミング言語「PHP」の脆弱性への対応についてauじぶん銀行 · 2026-10-22
[9][公式発表]PHPに関するセキュリティ上の安全確保を目的とした当行一部サービスの利用状況について中国銀行 · 2026-10-22
[10][公式発表]【一部復旧】ＰＨＰ脆弱性情報を受けた一部サービスの利用停止について鹿児島銀行 · 2026-10-22