世界中のウェブサイトで広く利用されているプログラム言語「PHP」に深刻な脆弱性が発見され、インターネットの安全性を揺るがす事態となっています。
今回の問題で特に深刻なのは、脆弱性そのものだけではありません。PHPを利用するサイトの約半数が、すでにサポートの終了した古いバージョンを使用しており、通常の修正プログラムを適用できないことが明らかになった点です。
さらに、米国のサイバーセキュリティー企業は、今後数週間から数カ月の間に、今回と同等かそれ以上に深刻な脆弱性が複数公表される可能性を指摘しています。
企業や行政機関にとって、サイバーセキュリティー対策は単なる情報システム部門の問題ではなく、事業継続や経営責任に直結する重要課題となっています。
PHP利用サイトの48%がサポート終了
PHPは、ウェブサイトや業務システムの開発に広く利用されているプログラム言語です。
世界のウェブサイトの約69%で利用されており、インターネットを支える重要な技術の一つとなっています。
デロイトトーマツサイバーがウェブ技術調査サービスの統計をもとに推計したところ、PHPを利用するサイトの48%が、すでにサポートの終了した古いバージョンを使用していました。
つまり、世界全体のウェブサイトの約3分の1が、通常の修正プログラムでは今回の脆弱性に対応することが難しい計算になります。
PHPの運営団体は2026年10月21日に修正プログラムを公開しましたが、サポート終了後の古いバージョンは原則として適用対象外です。
一部の古いバージョン向けには特例的な修正手段も提供されていますが、対応には高度な専門知識が必要となります。
問題は、古いプログラムを使っている企業が、必ずしもその危険性を認識していないことです。
長年問題なく稼働してきたシステムほど、更新の必要性が見過ごされやすいという構造的な問題があります。
なぜ古いシステムは簡単に更新できないのか
一般的には、ソフトウエアに脆弱性が見つかれば、最新版に更新すればよいと考えられます。
しかし、企業の実務では、それほど単純ではありません。
古いPHPで開発されたウェブサイトを新しいバージョンに更新すると、従来のプログラムが正常に動作しなくなる可能性があります。
例えば、顧客情報を管理するシステム、商品を販売する電子商取引サイト、会員向けの認証システムなどでは、更新によって業務そのものが停止するおそれがあります。
そのため、更新前にはプログラムの修正、動作確認、他のシステムとの接続試験などが必要になります。
さらに深刻なのは、システムの開発担当者が退職していたり、開発会社との契約が終了していたりするケースです。
管理者のログイン情報が不明で、更新作業に着手することさえ難しい場合もあります。
これは企業の基幹システムでも見られる問題です。
長年の改修を重ねた結果、システムの内部構造を理解できる人材がいなくなり、更新や廃止が困難になることがあります。
今回のPHP問題は、こうした古いシステムの維持管理問題が、サイバーセキュリティーの観点から一気に表面化した事例といえます。
国内500超のサイトが停止し再開も難航
日本国内でも、今回の脆弱性による影響が広がっています。
セキュリティー企業のアシュアードによると、2026年10月23日までに停止を告知した国内のウェブサイトやサービスは500件を超えました。
そのうち約6割では、同日時点で再開を確認できなかったとされています。
停止が長期化する背景には、古いPHPを利用しているため、修正に時間がかかっている可能性があります。
実際に、旅行ゲーム「ワールドクエスト」は、十分な安全対策を講じることが難しいとして、サービスの提供終了を発表しました。
これは、サイバーセキュリティー上の問題が、事業そのものの存続を左右することを示しています。
企業は今後、システムを維持するための費用だけでなく、安全性を確保するための更新費用や、更新できない場合の事業撤退費用まで考慮する必要があります。
システムの老朽化は、単なる技術的な問題ではなく、経営上の負債として認識すべき段階に入っています。
休眠サイトがサイバー攻撃の踏み台になる
今回、特に注意が必要なのが、長期間更新されていない休眠サイトです。
休眠サイトとは、過去に作成されたものの、現在はほとんど利用されず、適切な管理も行われていないウェブサイトを指します。
企業の過去のキャンペーンサイト、採用専用サイト、イベント告知サイト、行政機関の調査用サイトなどが該当します。
こうしたサイトは、利用者が少ないため安全だと思われがちですが、実際には逆です。
管理者による監視が不十分なため、不正アクセスや改ざんに気づくまで時間がかかる可能性があります。
2025年には、国土交通省が過去に調査用として利用したサイトが第三者に悪用され、海外のオンラインカジノに誘導する広告サイトとして使われていたことが発覚しました。
また、米グーグルが2026年9月に公表した調査では、ブラジル政府系の小規模なウェブサイトが乗っ取られ、金融機関や小売業などへのサイバー攻撃を指示するサーバーとして利用されていました。
つまり、企業自身が直接被害を受けていなくても、管理していないサイトが他社への攻撃に利用される可能性があります。
情報処理推進機構も、不要になったウェブページや管理できないサイトについて、閉鎖の必要性を指摘しています。
今後は、ウェブサイトを新しく作ることだけでなく、不要になったサイトを適切に廃止することが重要になります。
AIの進化で脆弱性の発見と攻撃が加速
今回のPHP問題には、人工知能の進化という新しい要素もあります。
報道によると、今回の脆弱性は2026年8月に米オープンAIなどによって発見されました。
その後、PHPの管理団体や米国政府、サイバーセキュリティー企業などが情報を共有し、修正プログラムの公開に向けて準備を進めてきました。
一方、脆弱性が公表されると、攻撃者もAIを利用して攻撃対象を短時間で探索できるようになります。
米クラウドフレアのマシュー・プリンス最高経営責任者は、今回の脆弱性を狙った攻撃通信を、自社ネットワーク全体で1分間に約100万回観測していると説明しました。
大半は、脆弱性が残っているサーバーを探すための通信とされています。
従来であれば専門知識と時間が必要だった攻撃対象の探索が、AIによって大幅に効率化される可能性があります。
企業が修正作業に数週間を要する一方、攻撃者は短時間で脆弱なシステムを発見できるという時間的な格差が生じています。
サイバーセキュリティー対策では、脆弱性を発見してから対応するまでの時間が、これまで以上に重要になっています。
今後さらに深刻な脆弱性が公表される可能性
クラウドフレアのプリンスCEOは、今回のPHP問題が例外的な出来事ではないとの見方を示しています。
今後数週間から数カ月の間に、今回と同等か、それ以上に深刻な脆弱性が複数公表される可能性が高いと指摘しました。
背景には、AIによるソフトウエアの解析能力の向上があります。
これまで発見が難しかったプログラムの欠陥が、AIによって次々と明らかになる可能性があります。
これは短期的にはサイバー攻撃のリスクを高めます。
しかし、長期的には、これまで見つからなかった欠陥を修正し、インターネット全体の安全性を高める機会にもなります。
プリンスCEOは、今後2年間を乗り越えれば、インターネットは以前より安全になる可能性があるとの見通しも示しています。
ただし、そのためには企業や行政機関が、発見された脆弱性に迅速に対応することが前提となります。
AIが欠陥を発見する速度に対して、企業側の修正能力が追いつかなければ、危険な状態が長期間続くことになります。
企業経営者が確認すべき5つの事項
今回の問題を踏まえ、企業経営者には次の5つの確認が求められます。
第一に、自社が管理するすべてのウェブサイトを把握することです。
公式サイトだけでなく、過去のキャンペーンサイトや採用サイト、外部委託先が管理するサイトも対象に含める必要があります。
第二に、利用しているソフトウエアのバージョンとサポート期限を確認することです。
PHPだけでなく、データベース、サーバー、コンテンツ管理システムなどについても確認が必要です。
第三に、更新が困難なシステムを洗い出すことです。
更新できない理由が費用なのか、技術的な問題なのか、担当者の不在なのかを整理する必要があります。
第四に、不要なシステムの廃止を検討することです。
利用されていないサイトを維持し続けることは、管理費用だけでなく、将来のサイバー攻撃リスクを抱えることにもつながります。
第五に、重大な脆弱性が発見された場合の対応体制を整備することです。
システムの停止判断、顧客への説明、外部専門家への依頼、復旧手順などを事前に決めておく必要があります。
特に中小企業では、情報システムの管理を外部業者に任せている場合が少なくありません。
しかし、業務を委託していても、顧客情報の保護や事業継続に関する経営上の責任までなくなるわけではありません。
経営者自身が、システムの安全性を確認できる管理体制を構築することが重要です。
システムの老朽化は財務上の問題にもなる
今回のPHP問題は、企業の財務管理にも重要な示唆を与えています。
古いシステムを使い続ける企業は、短期的には更新費用を抑えることができます。
しかし、脆弱性が発見された場合には、緊急の改修費用、外部専門家への報酬、サービス停止による売上減少、顧客対応費用などが一度に発生する可能性があります。
例えば、長年利用している電子商取引サイトを更新せず、年間数百万円の費用を節約していた企業が、重大な脆弱性によって数週間の営業停止に追い込まれれば、それまでの節約額を上回る損失が生じることも考えられます。
また、顧客情報の漏洩が発生すれば、損害賠償や信用低下などの影響も懸念されます。
会計上、すべての将来の更新費用が直ちに負債として計上されるわけではありません。
しかし、経営管理上は、老朽化したシステムが将来生み出す費用や損失の可能性を把握しておく必要があります。
設備投資と同様に、情報システムについても計画的な更新投資を行うことが、企業価値を守るために重要になります。
結論
今回のPHP脆弱性問題で明らかになったのは、世界のウェブサイトの約3分の1が、通常の修正プログラムでは対応が難しい古いシステムを使用しているという現実です。
さらに、AIの進化によって、これまで発見されなかった脆弱性が次々と明らかになる可能性があります。
企業にとって、システムを長期間使い続けることは、必ずしも経済的とは限りません。
更新費用を抑えることで、将来の大きな損失を招く可能性があるためです。
今後の企業経営では、情報システムを単なる業務効率化の手段としてではなく、事業継続と企業価値を支える重要な経営資産として管理する必要があります。
特に重要なのは、古いシステムを無条件に維持するのではなく、更新するもの、外部サービスに移行するもの、廃止するものを明確に区分することです。
今回の問題は、企業が長年先送りしてきたシステムの老朽化対策を見直す大きな契機になると考えられます。
参考
日本経済新聞 2026年10月25日 朝刊「PHP脆弱性、利用サイトの半分が修正困難 バージョン古くサポート終了」
日本経済新聞 2026年10月25日 朝刊「PHP並みの脆弱性『まだ出てくる』 米クラウドフレアCEOが予告」