プログラム言語PHPに深刻な脆弱性が発見され、日本と米国の企業で対応に大きな違いが生じました。
日本では金融機関や小売業など数百規模の組織がウェブサイトを一時停止した一方、米国では多くの企業がサービスを継続しながら修正作業を進めました。
この違いは、単に日本企業が慎重で米国企業が大胆だったという話ではありません。
企業のシステム構築、セキュリティー投資、危機管理体制、政府との情報共有など、サイバー防衛に対する取り組みの差が表れたと考えられます。
今回の問題は、企業経営においてサイバーセキュリティーが単なる情報システム部門の課題ではなく、事業継続を左右する経営課題になっていることを示しています。
PHPの脆弱性は8月に発見されていた
PHPは世界のウェブサイトの約7割で利用されているプログラム言語です。
企業のホームページだけでなく、電子商取引や会員管理など、さまざまなサービスを支えています。
今回の脆弱性は2026年8月にセキュリティー企業などが人工知能を活用して発見しました。
発見後、PHPの管理団体は米国政府や主要テック企業と情報を共有し、修正プログラムの準備を進めていました。
当初は10月22日に情報を公開する予定でしたが、脆弱性に関する情報がインターネット上に流出したため、10月21日に前倒しして公表されました。
注目すべき点は、一般公開の約2カ月前から関係機関が対応を進めていたことです。
脆弱性の発見から修正プログラムの公開までの期間に、関係者がどれだけ準備できるかが被害防止の重要な要素になります。
日本では数百規模の組織がサイトを停止
日本では10月21日から22日にかけて、金融機関や小売業など多くの組織がウェブサイトを一時停止しました。
修正プログラムを適用するまでの間、外部からの攻撃を防ぐためにサービスを停止する判断です。
高市早苗首相も、速やかな修正が困難な場合にはサイトの一時停止が有効な対策になるとの考えを示しました。
もちろん、サイト停止そのものが誤った判断というわけではありません。
重大な脆弱性が存在し、攻撃を防ぐ手段が確保できない場合には、システムを停止することが合理的な選択になります。
問題は、停止以外の選択肢をどれだけ準備できていたかという点です。
企業のウェブサイトは、今や単なる情報発信の手段ではありません。
商品販売、顧客対応、契約手続き、決済など、事業活動そのものを支える重要なインフラです。
停止期間が長くなれば、売上機会の喪失や顧客の利便性低下につながります。
米国企業はサービスを維持しながら修正
一方、米国ではウェブサイトの停止を公表した組織は限定的でした。
多くの企業がサービスを継続しながら、修正プログラムの適用やセキュリティー対策を進めたとみられています。
背景には、日常的にソフトウエアを更新する運用体制があります。
現代のシステムは多数のプログラムや外部サービスを組み合わせて構築されています。
そのため、どこかの部品に脆弱性が発見されることは珍しくありません。
米国企業の中には、システムを部分的に更新し、問題が発生した場合には速やかに元の状態へ戻す仕組みを整えている企業もあります。
こうした仕組みがあれば、事業全体を停止することなく修正を進めやすくなります。
ただし、今回サイトを停止しなかった米国企業が、すべて十分な対策を講じていたと断定することはできません。
重要なのは、事業を継続しながら安全性を確保するための技術と運用体制を整えることです。
米国企業の危機意識は日本より高い
今回の日米の対応差を考えるうえで、企業経営者やセキュリティー担当者の危機意識も重要です。
米プルーフポイントが2026年5月に実施した企業調査では、今後1年間に重大なサイバー攻撃を受けるリスクがあると回答したセキュリティー幹部の割合は、米国が89%でした。
これに対して日本は46%にとどまりました。
米国では約9割が重大な攻撃を警戒しているのに対し、日本では半数以下という違いがあります。
実際、米国は世界でもサイバー攻撃の主要な標的となっています。
マイクロソフトの調査によると、2026年1月から6月にサイバー攻撃の標的となった地域別の顧客企業数の割合は、米国が25.5%で最多でした。
日本は2.5%で8位でした。
米国企業は過去の大規模な情報流出やインフラ停止を経験し、サイバー攻撃を現実的な経営リスクとして認識していると考えられます。
サイバー保険が企業の安全対策を促す
日米の違いを生む要因として、サイバー保険の普及状況も指摘されています。
サイバー保険は、不正アクセスや情報流出などが発生した場合の調査費用、復旧費用、損害賠償などを一定の条件で補償する保険です。
米国ではサイバー保険の利用が広がっており、保険契約の条件として一定水準のセキュリティー対策を求められることがあります。
例えば、多要素認証の導入、データのバックアップ、アクセス権限の管理、脆弱性への対応などです。
保険会社が契約時に安全管理体制を確認することで、企業側にも対策を強化する動機が生まれます。
保険料や補償条件が企業のセキュリティー投資を促す仕組みです。
日本でもサイバー保険は提供されていますが、企業規模などによって加入状況には差があります。
今後は保険加入を単なるリスク移転の手段ではなく、自社の安全管理体制を点検する機会として活用することが重要になるでしょう。
官民連携が米国の大きな強み
今回のPHP脆弱性では、米国政府と主要テック企業の連携も注目されました。
脆弱性の発見後、PHPの管理団体とオープンAI、グーグルなどの企業、米政府機関が情報共有や対応準備を進めていました。
米国には、国立標準技術研究所やサイバーセキュリティー・社会基盤安全保障庁など、サイバー防衛を支える政府機関があります。
さらに、クラウドやセキュリティー分野で世界的な競争力を持つ民間企業が集積しています。
政府が脅威情報を共有し、企業が技術的な対策を開発する体制は、重大な脆弱性への対応力を高めます。
日本にも情報処理推進機構やJPCERTコーディネーションセンターなどの組織があります。
重要なのは、こうした組織から発信される情報が企業の現場まで速やかに届き、実際の対策につながる仕組みを強化することです。
AIによって攻撃の速度が変わる
今回の問題では、人工知能が脆弱性の発見に活用されたことも特徴です。
AIはプログラムの解析を支援し、人間が時間をかけて発見していた問題を短時間で見つける可能性があります。
一方、攻撃者もAIを利用できます。
脆弱性の情報が公開されれば、攻撃手法の分析や標的の探索が短時間で進む恐れがあります。
実際、今回の脆弱性を悪用しようとする攻撃は、クラウドフレアによって数百万件観測されました。
これからの企業には、脆弱性の発見から修正までの時間を短縮する能力が求められます。
従来のように、担当者が情報を確認し、会議を開いて対応方針を決め、数日後に修正作業を始める体制では、攻撃の速度に追いつけない可能性があります。
AIを防御にも活用し、システムの監視、異常検知、修正対象の特定などを迅速化する必要があります。
日本企業が見直すべきシステム運用
今回の問題から、日本企業が取り組むべき課題も見えてきます。
第一に、自社が利用しているソフトウエアや外部サービスを把握することです。
どのシステムでPHPが利用されているのか分からなければ、脆弱性の影響を判断できません。
第二に、修正プログラムを安全かつ迅速に適用できる環境を整えることです。
本番環境とは別に検証環境を用意し、更新後に問題が発生した場合には元に戻せる仕組みが必要です。
第三に、システム停止を含めた事業継続計画を整備することです。
サイトを停止する場合でも、顧客への連絡方法や代替手続きが準備されていれば、影響を抑えることができます。
第四に、経営陣がサイバーリスクを理解することです。
情報システム部門に任せるだけではなく、必要な投資や人材確保を経営判断として進める必要があります。
サイバーセキュリティーは企業価値を左右する
サイバー攻撃への対応力は、今後ますます企業価値に影響するでしょう。
重大な脆弱性が発見されるたびにサービスを長期間停止する企業と、安全性を確保しながら事業を継続できる企業では、顧客からの信頼にも差が生じます。
特に金融、医療、物流、電子商取引など、システム停止が社会生活に直結する業種では、その重要性が高まります。
また、サイバーセキュリティーへの投資は、単なる費用ではありません。
事業停止による損失を防ぎ、顧客との取引を維持するための投資でもあります。
経営者は、システムの安全性だけでなく、障害や攻撃が発生した場合にどれだけ早く復旧できるかという観点からも投資効果を評価する必要があります。
結論
今回のPHP脆弱性を巡る日米企業の対応の違いは、サイバー防衛力と事業継続体制の重要性を浮き彫りにしました。
日本企業がウェブサイトを停止した判断には、安全確保を優先する合理性があります。
一方、米国企業の多くがサービスを維持しながら修正を進めたことは、日常的なシステム更新や危機対応体制の重要性を示しています。
ただし、サイトを停止しなかったことだけをもって、米国企業の安全性が高いと評価することは適切ではありません。
企業に求められるのは、危険な状態で無理に事業を継続することではなく、安全性と事業継続を両立できる体制を構築することです。
AIの普及によってサイバー攻撃の速度が高まる時代には、脆弱性の発見、情報共有、修正、復旧までを一体的に管理する能力が競争力になります。
今回の問題を一時的なシステム障害として終わらせず、日本企業全体のサイバー防衛体制を見直す契機にすることが重要です。
参考
日本経済新聞 2026年10月23日朝刊
PHP欠陥でサイト止めた日本、止めなかった米国 脆弱性は8月に発見