世界のウェブサイトの約7割で利用されているプログラミング言語「PHP」に重大な脆弱性が発見され、国内外の企業や政府機関が対応に追われています。
今回の問題が従来のサイバーセキュリティー問題と大きく異なるのは、10年以上見過ごされてきた欠陥が高性能の人工知能（AI）によって発見され、攻撃にもAIが利用される可能性が高まっていることです。
米アマゾンは、AIを利用すれば数分足らずで脆弱性を悪用できると警告しています。米クラウドフレアが観測した攻撃の試みも、脆弱性の公表後に急増し、数百万件に達しました。
日本でも国税庁、気象庁、金融機関、鉄道会社、通信会社などが一部サービスを停止しました。
今回の事態は、単なるプログラムの欠陥ではありません。企業のデジタル資産管理、情報システム投資、内部統制、事業継続計画のあり方を根本から問い直す出来事といえます。
世界のウェブサイトの約7割が利用するPHPとは
PHPは、ウェブサイトやウェブアプリケーションを開発するためのプログラミング言語です。
企業のホームページだけでなく、インターネット通販、会員管理、予約システム、問い合わせフォームなど、幅広いサービスで利用されています。
世界のウェブサイトの69%がPHPを利用しているとされ、その普及率の高さが今回の影響を大きくしました。
PHPが広く使われている理由には、無料で利用できるオープンソースソフトウエアであることや、開発者が多く、導入しやすいことがあります。
一方、長年にわたり利用されてきたため、古いバージョンを使用するシステムも数多く残されています。
今回発見された脆弱性の深刻度は、10点満点中9.2点と評価されています。
悪用された場合、ウェブサイト内部の情報が読み取られたり、サーバーを不正に操作されたりする危険性があります。
ただし、PHPを利用しているという理由だけで、すべてのサイトが直ちに侵害されるわけではありません。実際の危険性は、使用しているバージョンや設定、外部からのアクセス経路などによって異なります。
重要なのは、自社のシステムが影響を受けるかどうかを迅速に把握できることです。
AIが10年以上見逃されてきた欠陥を発見
今回の脆弱性は、10年以上にわたり見過ごされてきたと報じられています。
PHP財団によると、米オープンAIや米グーグル傘下企業など3社が、最先端AIを活用した検証などを通じて問題を発見しました。
従来、ソフトウエアの脆弱性は専門家によるコードの調査や検証によって発見されることが一般的でした。
しかし、AIの性能向上によって、膨大なプログラムを短時間で解析し、人間が見逃していた欠陥を発見できる可能性が高まっています。
これはサイバーセキュリティーの世界に大きな変化をもたらします。
AIを活用する防御側は、これまで発見できなかった問題を早期に把握できるようになります。
その一方、攻撃側もAIを利用して脆弱性の分析や攻撃対象の探索を効率化する可能性があります。
つまり、AIの進化はサイバー防御を強化すると同時に、サイバー攻撃を高度化させるという二面性を持っています。
今後はPHPに限らず、さまざまなプログラミング言語や業務システムで、長年潜在していた欠陥が相次いで発見される可能性があります。
脆弱性の公表からわずか45分で攻撃が急増
今回の事案で特に注目すべきなのは、脆弱性が公表されてから攻撃が急増するまでの時間の短さです。
米クラウドフレアによると、脆弱性の公表前10時間に観測された攻撃の試みは数千件でした。
ところが、公表後45分で数万件に増え、その後は数百万件に達しました。
米アマゾンも、脆弱性の公表前から不正アクセスを試みた形跡を確認したと発表しています。
従来、企業のセキュリティー対策では、修正プログラムが公開されてから72時間以内に対応することが一つの目安とされてきました。
しかし、今回のように短時間で攻撃が急増する状況では、72時間という対応期間が十分とは限りません。
企業は脆弱性が公表された時点で、すでに攻撃が始まっている可能性を考慮する必要があります。
もっとも、すべての修正作業を数分以内に完了することは現実的ではありません。
そのため、修正までの間に外部アクセスを制限したり、問題のある機能を一時停止したりする暫定措置が重要になります。
今後のサイバー対策では、修正の速さだけでなく、被害を防ぐための初動対応の速さが問われることになります。
国税庁や金融機関にも広がったサービス停止
今回の問題は、日本の社会インフラにも影響を及ぼしました。
国税庁は、ホームページの一部コンテンツやサービスを一時停止しました。
電子申告・納税システムであるe-Taxについても、トップページが一時閲覧できなくなるなどの影響が発生しました。
気象庁は過去の気象データを提供する一部コンテンツを停止し、財務省や内閣府も一部のサービスを休止しました。
金融機関では、三菱UFJ銀行が個人向けインターネットバンキングの一部機能を停止しました。
投資信託の口座開設やNISAの利用申し込みなどにも影響が及びました。
民間企業では、ソフトバンク、JR西日本、大丸松坂屋百貨店、ゼンショーホールディングスなどが対応に追われました。
一方、みずほ銀行やサイバーエージェント傘下のゲーム会社などでは、修正作業を終えてサービスを再開する動きもありました。
ここで重要なのは、サービス停止が必ずしもサイバー攻撃による被害を意味するわけではないことです。
多くの企業や政府機関は、安全性を確保するための予防的措置としてサービスを停止しています。
顧客の利便性を一時的に損なってでも、情報漏洩やシステム侵害を防ぐ判断を優先したと考えられます。
休眠サイトが企業全体のリスクになる
今回の問題で特に警戒すべきなのが、長期間更新されていない休眠サイトです。
企業では、新商品やキャンペーンのために開設した特設サイト、過去の採用サイト、旧サービスの案内ページなどが残されている場合があります。
こうしたサイトは、通常の業務システムほど厳格に管理されていないことがあります。
担当者が異動や退職によって不在となり、開発会社との契約も終了しているケースが考えられます。
しかし、外部からアクセスできる状態であれば、企業のセキュリティー上の弱点となる可能性があります。
特に問題なのは、経営陣や情報システム部門が、その存在自体を把握していない場合です。
自社で管理するウェブサイトの一覧が存在しなければ、重大な脆弱性が発見されても、どのシステムを修正すべきか判断できません。
大企業ほど、子会社や事業部門ごとにウェブサイトを開設していることが多く、管理が複雑になりがちです。
今後は、利用していないサイトを放置するのではなく、定期的に棚卸しを行い、不要なものは閉鎖する管理が必要です。
中小企業ほど深刻になる修正費用と人材不足
大企業では情報システム部門や外部の専門会社を活用できますが、中小企業では対応できる人材が限られています。
ウェブサイトの制作を外部業者に委託し、その後はほとんど更新していない企業もあります。
脆弱性の存在を知っても、どのように修正すればよいのか分からない場合があります。
さらに、古いシステムでは修正プログラムを適用することで、ほかの機能が正常に動かなくなる可能性があります。
そのため、単純に更新すれば問題が解決するとは限りません。
場合によっては、システム全体の改修や再構築が必要になります。
今回、古い仕組みを使用していた旅行ゲームの運営元は、十分な安全対策を講じられないとしてサービス終了を決断しました。
この事例は、システムの老朽化が事業継続そのものを左右することを示しています。
情報システムへの投資を先送りすることは、短期的には経費削減につながります。
しかし、長期的には突然のサービス停止や多額の改修費用、顧客離れを招く可能性があります。
サイバー対策は経営者の責任になる
今回の問題は、サイバーセキュリティーを情報システム部門だけの課題として扱うことの限界を示しています。
重大な脆弱性が発見された場合、経営者はサービスを継続するか、一時停止するかを判断しなければなりません。
停止すれば売上高の減少や顧客への影響が生じる可能性があります。
一方、停止せずに運用を続ければ、情報漏洩やシステム侵害のリスクが高まる場合があります。
どちらを選択しても経営上の判断が必要です。
そのため、企業には平時から明確な意思決定体制を整えておくことが求められます。
具体的には、情報システムの責任者、経営陣への報告経路、サービス停止の判断権限、顧客への説明方法などを定めておく必要があります。
また、外部委託先に対しても、脆弱性が発見された際の連絡期限や対応責任を契約上明確にすることが重要です。
サイバーセキュリティーは、企業の内部統制やリスク管理の重要な構成要素になっています。
取締役会や監査役も、情報システムの安全管理体制が適切に整備されているかを確認する必要があります。
事業継続計画にも新たな対応が必要
企業は地震や台風などの自然災害に備えて、事業継続計画であるBCPを策定しています。
しかし、今後は大規模なソフトウエアの脆弱性によって、複数のシステムが同時に停止する事態も想定する必要があります。
今回のPHP問題では、同じプログラミング言語を利用する多数の企業や政府機関が、ほぼ同時に対応を迫られました。
これは個別企業の障害ではなく、社会全体に共通する技術基盤の問題です。
例えば、金融機関のインターネットサービスが停止した場合、顧客に代替手続きを案内できる体制が必要です。
行政機関であれば、電子申請が利用できない期間の対応や期限管理も重要になります。
企業の電子商取引サイトが停止した場合には、注文受付や顧客対応をどのように継続するかを事前に検討しておく必要があります。
また、同じ技術基盤に依存する複数のサービスを利用している場合、代替システムまで同時に停止する可能性があります。
今後のBCPでは、自然災害だけでなく、共通ソフトウエアの重大な欠陥による同時多発的な障害への備えが重要になります。
AI時代は防御側もAIを活用する必要がある
サイバー攻撃にAIが利用される時代には、防御側もAIを活用することが重要になります。
AIを使えば、大量のプログラムや設定情報を調査し、潜在的な脆弱性を発見する作業を効率化できる可能性があります。
また、通常とは異なる通信や不審なアクセスを検知し、攻撃の兆候を早期に把握することにも役立ちます。
ただし、AIを導入すれば自動的に安全になるわけではありません。
AIによる分析結果には誤検知や見落としが生じる可能性があり、最終的には専門家による確認が必要です。
重要なのは、AIと人間の専門家を組み合わせた継続的な管理体制です。
企業はシステムを導入した時点で管理を終えるのではなく、運用期間を通じて安全性を確認し続ける必要があります。
これまでのように、問題が発生してから修正する対応だけでは不十分になる可能性があります。
結論
今回のPHPの重大な脆弱性は、AI時代のサイバーセキュリティーが新しい段階に入ったことを示しています。
10年以上見逃されてきた欠陥がAIによって発見され、その情報が公表されると短時間で大量の攻撃が試みられるという状況が現実になりました。
企業に求められるのは、単に最新の修正プログラムを適用することだけではありません。
自社が保有するウェブサイトや業務システムを正確に把握し、古いソフトウエアを適切に管理し、緊急時には迅速にサービス停止を判断できる体制を整えることです。
特に、長期間放置された休眠サイトや管理責任が曖昧な外部委託システムは、企業全体のリスクにつながります。
情報システムへの投資は、単なる経費ではなく、企業の信用と事業継続を守るための必要な投資です。
今後はAIによって新たな脆弱性が発見される機会が増えると考えられます。
経営者には、サイバーセキュリティーを専門部署任せにせず、経営戦略、内部統制、事業継続計画と一体で管理する姿勢が求められます。
今回のPHP問題を一時的な混乱として終わらせるのではなく、次の重大な脆弱性に備える契機とすることが重要です。
参考
日本経済新聞 2026年10月23日朝刊 PHP欠陥「AIなら数分で標的に」 サイバー攻撃検知、休眠サイトもリスク
日本経済新聞 2026年10月23日朝刊 社説 PHPの警鐘を次の脆弱性対策に生かせ
日本経済新聞 2026年10月23日朝刊 PHP欠陥で停止した主なサイト一覧 銀行や通信、国税庁・気象庁も