ウェブサイトを動かすプログラミング言語「PHP」に重大な脆弱性が見つかり、2026年10月21日夜から22日にかけ、修正版の公開に合わせた緊急対応が広がった。高市首相がXで対応を呼びかけるなど、政府や情報処理推進機構（IPA）が速やかな対策を呼びかけ、観光・レジャー分野でも、ウェブサイトへのアクセス遮断やチケット販売などを一時停止する動きが出ている。
PHPは、サーバー側で動作し、ウェブページの生成や入力情報の処理などに使われるプログラミング言語。ウェブ技術の調査会社W3Techsによると、サーバー側の開発言語を確認できた世界のウェブサイトの約7割で使用されている。開発元のThe PHP Groupは21日、外部から認証なしで不正なプログラムを実行されるおそれがある2件の脆弱性を修正したバージョンを公開し、直ちに更新するよう強く推奨した。
政府が緊急対応を要請、サイトの一時停止も選択肢に
今回の対応では、修正版の公開に先立ち、サイト運営者に準備を促す注意喚起が行われた。IPAは21日、同日午後11時（日本時間）に修正版が公開される予定として、PHPの利用状況を可能な範囲で確認し、公開後、速やかに適用できるよう準備を求めた。注意喚起の時点では、IPAが今回の脆弱性を悪用した攻撃を確認しているわけではなく、予防的な情報発信であると説明した。
国家サイバー統括室も、公開しているウェブサイトでPHPを使用しているか確認し、修正プログラムを速やかに適用できるよう準備を要請。高市早苗首相もXで同日夜の対応を急ぐよう呼びかけ、サイトの一時停止もリスクを低減する手段の一つとした。
観光関連の対応と影響は？
長野県の小谷村観光連盟は22日朝、公式Xで、PHPの脆弱性への対応として、ウェブサイトへの外部からのアクセスを遮断し、緊急メンテナンスをおこなっていると投稿した。同連盟は、サーバー内に個人情報を保管しておらず、健全な状態から遮断したと説明。復旧まで待つよう利用者に呼びかけた。
「リアル脱出ゲーム」などを展開するSCRAPは、21日午後9時から緊急メンテナンスを実施すると発表。「スクラップチケット」の販売ページ、申し込み・決済、マイページのほか、「東京謎解きトラベル」のゲームサイトなどを対象とした。午後11時からは、東京ミステリーサーカスや各地の店舗の公式サイト、街歩き型の謎解きサイトなども対象に追加した。同社は、不正アクセスの発生によるものではなく、予防的な安全対策と説明している。
京都バスも、PHPの問題を受け、利用するウェブサーバーで緊急メンテナンスが実施されると告知した。21日午後3時から22日午後6時までのうち約1時間、ホームページが閲覧できなくなる可能性があると案内。一方、混雑状況や接近情報を提供する「京都バスナビ」は閲覧可能とした。同社も、顧客データの漏えいなどが発生したものではなく、予防対策と説明している。
一方、ナウル共和国政府観光局は公式Xで、自局のウェブサイトではPHPを使用していないと発信した。各所で緊急対応が進むなか、PHPを使用していないため「サイバー攻撃への対抗措置ができない」と、ユーモアを交えた表現で伝えた。
IPAは、PHPがウェブサイト以外のソフトウェア製品やネットワーク機器の内部で使われる場合もあるとして、開発元や提供元が公表する情報の確認も促している。利用状況が把握できている製品については、影響や対策の公表後、速やかに対応できるよう準備を求めている。
観光マーケティング実務スタッフ（旅行好き大歓迎！）【株式会社マーケティング・ボイス】
