アプリ・サービス障害読了 7 分

あすけんも刀剣乱舞もツイキャスも一斉停止――首相の「大至急のお願い」、正体はPHPの脆弱性

Shiritomo編集部 @shiritomoAI_jp 2026年10月22日更新

10月21日の夜、「刀剣乱舞」が緊急メンテナンスに入り、ほぼ同時にダイエット記録アプリ「あすけん」もつながらなくなりました。
続けて「グランブルーファンタジー」や「ウマ娘プリティーダービー」が緊急メンテナンスに入り、クリエイター向けソフト「クリスタ」も一時的なサービス停止の可能性を発表し、配信サービス「ツイキャス」まで止まります。
ジャンルも運営会社もまったく違うサービスが、同じ晩に次々と使えなくなったのです。
原因はひとつ、PHPという1つのプログラミング言語に見つかった脆弱性（セキュリティ上の弱点）でした。
自分のブログやサイトをWordPressのようなPHP製の仕組みで動かしている方にとっても、人ごとでは済まない出来事です。

先に結論をまとめると：
– 原因はPHP本体の2つの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）。
ログインなど手続きを踏まなくても外部から操作されるおそれがあった
– 10月21日夜から22日にかけて、あすけん・刀剣乱舞・グランブルーファンタジー・クリスタ・ツイキャスなど、ジャンルを問わず国内の多数のサービスが同時に緊急メンテナンスに入った
– 高市早苗首相もX上で「大至急のお願い」として対応を呼びかける異例の事態になったが、PHP側は10月21日午後11時（日本時間）にはすでに修正版を公開していた

何が起きたのか

Xでは一夜のうちに、普段はまったく接点のない運営元から同じ説明が並ぶという珍しい光景が広がりました。
バンドsumikaの公式ファンクラブ「ATTiC ROOM」もそのひとつです。

『ATTiC ROOM』緊急メンテナンス実施中のお知らせ

sumika OFFICIAL FAN CLUB『ATTiC ROOM』サイトの、サーバーで使用しているプログラミング言語「PHP」に関する脆弱性が発見されたとの発表を受け、
ファンクラブサイトでは10/21(水)…
— sumika (@sumika_inc) 2026年10月22日

投稿では、サイトのサーバーで使われているプログラミング言語「PHP」に脆弱性が発見されたと明記されています。
ファンクラブの運営元がここまで具体的に技術的な原因を説明するのは珍しく、それだけこの脆弱性の発表が急だったことがうかがえます。
ただ、PHPという言葉だけでは「何がそんなに危なかったのか」「なぜこんなに広い範囲が止まったのか」が見えてきません。
そこで一次情報を確かめてみました。

調べて分かったこと

そもそも何が起きたのか、なぜ業種を問わず広がったのか

PHP開発チームが10月21日未明（日本時間）に公表したのは、2件の重大な脆弱性（CVE-2026-109618・CVE-2026-109619）でした。
1件はメモリ不足時の処理に起因するメモリ破損、もう1件はエラー処理後に解放済みのメモリ領域が参照され続けてしまう不具合です。
どちらも深刻度の指標であるCVSSスコアが9.2（10点満点中）と最高ランクに近い評価で、ログインなどの認証を経ずに外部から遠隔でコードを実行されるおそれがあるというものでした。
PHPはサーバー側でウェブサイトを動かすための言語で、世界のウェブサイトの7割程度で使われているとされています。
しかもPHP-FPM・Apache mod_php・php-cgiといった主要な動かし方のほぼすべてが対象だったため、ゲーム会社もファンクラブ運営会社も配信サービスも、業種に関係なく一度にリスクを抱える事態になりました。
修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35として10月21日午後11時（日本時間）に公開されましたが、サポートが切れたPHP 8.1以前のバージョンにはそもそも修正が提供されません。

首相まで動いた「大至急のお願い」

この日は政府の対応も注目されました。
高市早苗首相がX上で、PHPを使っているウェブサイトの運営者に向けて緊急の呼びかけを行ったのです。

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…
— 高市早苗 (@takaichi_sanae) 2026年10月21日

「皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています」と投稿し、同日午後11時に公開される修正パッチを速やかに適用するよう準備を求めました。
さらに「修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」とも述べています。
特定のソフトウェアの脆弱性について首相本人がここまで具体的に発信するのは、かなり異例のことでした。

実際、あすけんや刀剣乱舞、グランブルーファンタジーといった複数のサービスも、修正パッチの適用を待たずに同様の一時停止という選択を取りました。
ゲーム会社のCygamesは10月21日23時から「ウマ娘」「グランブルーファンタジー」「Shadowverse: Worlds Beyond」のメンテナンスに入ったことを発表しており、プレイデータと環境の安全を優先した予防的な対応だったと説明しています。

自分のサイトがPHPを使っているか、どう確認すればいいのか

今回のように自分から何かを操作していなくても、裏側でPHPが動いているだけで対象になるのが今回のやっかいな点です。
WordPressやEC-CUBEなど、個人のブログやショップでよく使われる仕組みの多くはPHPで動いています。
利用中のレンタルサーバーの管理画面やサポート窓口に確認すれば、今使っているPHPバージョンとその更新方法はすぐに分かります。
「phpバージョン最新」のように、使っているバージョンを調べたり最新版に上げたりする方法は、こうした緊急事態とは関係なく日常的に検索されている言葉でもあります。
普段からバージョンを把握しておくことが、次に同じような発表が出たときに慌てずに動くための備えになりそうです。

Shiritomo編集部の考察

今回の一件が示しているのは、SNSやウェブサービスの「裏側」がどれだけ共通の基盤に支えられているかということです。
ゲーム、ファンクラブ、ダイエット記録、動画配信——表向きはまったく別の体験を提供しているサービスが、同じ晩に同じ理由で止まりました。
SNS運用やサイト運営に関わる立場から見ると、自社サービスが直接何かをしていなくても、使っている言語やツール次第でリスクを共有してしまうという点は見落とされがちです。
また、sumikaの公式ファンクラブのように原因を具体的に明示した発信は、ユーザーの不安を和らげる効果があったと考えられます。
緊急時の告知で「何が起きているか」をどこまで具体的に書くかは、今後のSNS運用でも参考になる判断材料ではないでしょうか。

まとめ

PHPの重大な脆弱性をきっかけに、10月21日夜から22日にかけてジャンルを問わず多数の国内サービスが緊急メンテナンスに入りました。
首相まで対応を呼びかける事態となりましたが、修正版はすでに公開されており、各サービスも順次復旧しています。
見えないところで多くのサービスを支える共通基盤の存在を、改めて意識させられる出来事でした。