世界中のウェブサイトで利用されているプログラム言語「PHP」の深刻な脆弱性が、日本の社会インフラにも大きな影響を及ぼしています。
国内では企業や行政機関などによるサービス停止が累計500件を超え、携帯電話会社の緊急速報メールにも影響が広がりました。
今回の問題は、単なるウェブサイトのセキュリティー対策にとどまりません。企業のシステム管理、外部委託先の統制、災害情報の伝達、事業継続計画など、経営全体に関わる課題を浮き彫りにしています。
特に重要なのは、サイバー攻撃による被害が確認されていなくても、安全性を確保するためにサービスを停止せざるを得ないという現実です。
国内500件超のサービス停止が示す深刻な影響
クラウドサービスのセキュリティー評価を手掛けるアシュアードの調査によると、PHPの脆弱性に関連してサービス停止を公表した国内の企業や組織は、累計500件を超えました。
2026年10月23日午後2時時点では、停止を告知した組織のうち285件について、再開の告知が確認されていませんでした。
これは調査対象の約6割に相当します。
ただし、再開の告知が確認できないことが、必ずしもサービス停止の継続を意味するわけではありません。調査はSNS上の公表情報を基にしているため、実際の稼働状況とは異なる可能性があります。
それでも、脆弱性の発覚から復旧までに相当な時間を要している組織が存在することは、重要な問題です。
背景には、企業自身がシステムの構成を十分に把握できていないという事情があります。
長年にわたり改修を重ねてきたシステムでは、どの部分にPHPが使用されているのかを特定するだけでも時間がかかります。
さらに、保守契約が終了した古いソフトウエアや、外部委託先が管理するシステムでは、迅速な更新が難しい場合があります。
今回の問題は、日本企業が抱えるシステム管理の構造的な弱点を明らかにしたと考えられます。
緊急速報メールの停止が社会に与える影響
今回、特に注目されるのが携帯電話会社の緊急速報メールへの影響です。
ソフトバンクは10月23日、PHPの脆弱性への対応として、緊急速報メールの配信を一時停止すると発表しました。
対象にはソフトバンクだけでなく、ワイモバイルやLINEMOも含まれます。
発表によると、10月26日までのメンテナンス期間中は、緊急地震速報、津波警報、災害・避難情報などを緊急速報メールで受信できなくなるとしています。
NTTドコモも、緊急速報「エリアメール」の一部配信を停止しました。
ただし、ドコモでは緊急地震速報と津波警報の配信を継続し、Jアラートや自治体が発信する災害・避難情報などを停止対象としています。
この違いは、利用者にとって極めて重要です。
緊急速報メールは、地震や津波、豪雨などの災害発生時に、人命を守るための情報伝達手段です。
その仕組みがソフトウエアの脆弱性によって停止することは、情報システムの問題が直接的に社会の安全へ波及することを意味します。
災害情報の伝達手段を特定のシステムに依存することの危険性も明らかになりました。
サイバー攻撃を受けなくても事業は停止する
サイバーセキュリティーというと、不正アクセスや情報漏洩、ランサムウエアによる被害を想像する人が多いと思います。
しかし、今回の特徴は、実際に攻撃を受けたことが確認されていない組織でも、予防的な措置としてサービスを停止している点です。
東京都は、都議会や都立図書館などのウェブサイトを一時閉鎖しました。
現時点で脆弱性に起因する被害は確認されていないものの、安全性を確認するまで公開を見合わせる対応を取りました。
企業や行政機関には、サービスを継続する責任と、利用者の情報を守る責任があります。
脆弱性が存在する可能性を認識しながらサービスを継続すれば、不正アクセスなどの被害が発生する危険性があります。
一方、安全性を優先して停止すれば、利用者の利便性が損なわれ、業務や社会活動に影響が及びます。
つまり、サービスの継続と安全確保という2つの責任が衝突することになります。
経営者には、技術的な対応だけでなく、停止による影響を総合的に判断する能力が求められています。
金融機関の対応に見る業務継続の重要性
金融機関でも、PHPの脆弱性に対応するためのサービス制限が発生しました。
三菱UFJ銀行は、個人向けインターネットバンキング「三菱UFJダイレクト」の一部サービスについて臨時メンテナンスを実施しました。
投資信託の口座開設やNISAの利用申し込みなどが制限されましたが、10月23日に再開しました。
一方、オンライン送金などの資金決済には影響がありませんでした。
ここで注目したいのは、金融機関のシステムが担う業務の重要度に応じた対応です。
資金決済は、個人の生活や企業の経済活動を支える重要な機能です。
仮に振り込みや決済まで停止すれば、企業の資金繰りや家計の支払いに影響が広がる可能性があります。
金融機関には、システムの安全性を確保しながら、重要な業務を継続するための仕組みが不可欠です。
今回の事例は、システムを一律に停止するのではなく、機能ごとのリスクを評価し、重要な業務への影響を最小限に抑えることの重要性を示しています。
外部委託先の管理が経営上の重要課題になる
企業の情報システムは、自社だけで完結しているとは限りません。
ウェブサイトの制作、サーバーの管理、クラウドサービスの運用、システムの保守など、多くの業務が外部企業に委託されています。
そのため、自社の情報システム部門が適切に管理していても、外部委託先の対応が遅れれば、サービス停止が長期化する可能性があります。
特に問題となるのが、委託先が使用しているソフトウエアや、その保守状況を発注企業が十分に把握していない場合です。
例えば、企業がウェブサイトの運用を外部企業に委託しているケースを考えてみます。
委託先が古いPHPを使用していても、発注企業がその事実を把握していなければ、脆弱性が公表された際に迅速な判断ができません。
委託契約において、使用するソフトウエアの管理責任、セキュリティー更新の期限、事故発生時の報告義務などを明確にすることが重要です。
さらに、契約を締結した後も、定期的な確認や監査を実施する必要があります。
外部委託は業務の効率化につながりますが、経営責任まで外部に移転できるわけではありません。
古いシステムの放置が将来の経営リスクを拡大する
今回の復旧遅延の背景には、サポート期間が終了したソフトウエアの存在も指摘されています。
古いシステムを長期間使用することには、一定の経済合理性があります。
新しいシステムへの移行には、多額の費用と時間が必要だからです。
しかし、更新を先送りすることで、将来のリスクが蓄積される可能性があります。
例えば、システム更新に1,000万円かかるため、改修を先送りしていた企業があるとします。
その結果、脆弱性への対応が困難になり、サービス停止によって売上減少や顧客離れが発生すれば、更新費用を上回る損失につながる可能性があります。
これは仮定の事例ですが、システム投資を単なる経費削減の対象として考えることの危険性を示しています。
企業は、情報システムへの投資を将来の損失を防ぐための経営投資として評価する必要があります。
特に、顧客情報や決済機能を扱うシステムでは、更新の先送りによるリスクを定期的に検証することが重要です。
事業継続計画にサイバーリスクを組み込む
企業の事業継続計画では、地震、台風、火災などの自然災害を想定することが一般的です。
しかし、今後はソフトウエアの脆弱性による大規模なサービス停止も、重要な想定事項に加える必要があります。
特に、複数の企業が同じプログラム言語やクラウドサービスを利用している場合、問題が同時多発的に発生する可能性があります。
今回のPHPの問題は、まさにその典型例です。
企業ごとに異なるシステムを使用していても、共通する基盤技術に問題が発生すれば、多数の企業が同時に影響を受けます。
事業継続計画では、代替システムの確保だけでなく、顧客への連絡手段、業務の優先順位、復旧判断の責任者などを事前に決めておくことが重要です。
また、災害情報については、緊急速報メールだけに依存せず、自治体の公式情報、防災行政無線、テレビ、ラジオ、防災アプリなど、複数の手段を組み合わせることが求められます。
情報伝達手段の多重化は、企業だけでなく、家庭にとっても重要な備えになります。
復旧後も残るセキュリティー対策の課題
今回、三菱UFJ銀行や気象庁などでは、サービスの再開が進みました。
海外でも、フランスのパリ警視庁やオランダの政府関係機関などで、停止していたウェブサイトの復旧が始まっています。
しかし、サービスが再開したからといって、すべての問題が解決したわけではありません。
企業には、脆弱性の原因分析、影響範囲の確認、システム構成の見直しなど、継続的な対応が求められます。
さらに注意したいのが、サービス停止やメンテナンスに便乗した詐欺です。
金融機関や通信会社を装い、偽の更新手続きや本人確認を求める不審なメールが送られる可能性があります。
利用者は、メールやSMSに記載された案内を安易に信用せず、公式アプリや正規のウェブサイトなどから情報を確認することが重要です。
企業側にも、利用者が正しい情報を判断できるよう、迅速かつ分かりやすい情報発信が求められます。
結論
PHPの脆弱性による国内500件超のサービス停止は、日本社会のデジタル基盤が抱える問題を浮き彫りにしました。
特に、緊急速報メールの配信停止は、情報システムの安全性が人命や社会の安全に直結することを示しています。
今回の問題から得られる教訓は、3つあります。
第一に、企業は自社と外部委託先を含めた情報システムの全体像を把握する必要があります。
第二に、古いソフトウエアの更新を先送りせず、セキュリティー投資を経営上の重要課題として位置づけることです。
第三に、システム停止を前提とした事業継続計画を整備し、重要なサービスを維持するための代替手段を確保することです。
デジタル化が進むほど、社会は共通する技術基盤への依存度を高めます。
その一方で、1つの技術的な問題が、多数の企業や行政機関に同時に波及する危険性も大きくなります。
今後の企業経営では、情報システムを単なる業務効率化の手段としてではなく、事業継続と社会的責任を支える重要な経営基盤として捉えることが不可欠です。
参考
日本経済新聞 2026年10月24日朝刊 PHP脆弱性「サイト停止500件超」 ソフトバンクは緊急速報配信停止