高市早苗首相は10月21日夜、多くのウェブサイトで使われるプログラミング言語「PHP」に重大な脆弱性が見つかったことを受け、自身のX（旧ツイッター）で「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿しました。 毎日新聞やTBSによると、公開しているウェブサイトでPHPを使っているか確認し、日本時間21日午後11時ごろ公開される修正パッチを「可及的速やかに適用できるよう準備をお願いします」と呼びかけています。首相が個別のソフトウエア脆弱性について、Xで直接対応を求めるのは異例です。

日本経済新聞は、修正プログラムの適用が困難な場合について、高市首相がウェブサイトの一時停止などが「リスクを低減させるための有効策のひとつだ」と言及した、と伝えています。同じ日、国家サイバー統括室（NCO）も利用企業などに注意喚起を出しています。ITmedia NEWSは、国家サイバー統括室も同様の内容をXで呼び掛けていた、と整理しています。首相の投稿は、技術者向けの注意喚起を、経営層やサイト運営の責任者まで届ける狙いとしても読まれています。

22日午前、高市首相は首相官邸で記者団に「うちは遮断した」と言及しました。日本経済新聞によると、自身のホームページを一時的に閉鎖し、首相周辺は21日夜から停止したと説明しています。TBSは、出邸時に報道各社へ「ウェブサイト大丈夫でしたか？うち（高市事務所）は遮断しました」と語りかけた、と伝えています。呼び掛けた本人が、適用が間に合わない場合の手段として示した一時停止を、まず事務所側で実行した形です。どのページがPHPで動いていたかの詳細は、本稿の確認範囲では公表されていません。

木原稔官房長官は、政府として今後も必要な注意喚起を実施するなど適切な対応を行うとしたうえで、「今のところ、関係する被害の報告は受けていない」と明らかにしています。被害報告がないことと、国内の全サイトが安全であることとは同じではありません。報告がない、という現時点の把握と、未修正のまま公開を続けるリスクは、別の層です。News.comは、官房長官の「報告なし」を、攻撃がゼロだと確定した表現には使いません。

対象の脆弱性は、CVE-2026-109618とCVE-2026-109619です。PHPのセキュリティーチームは21日、修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。認証なしで遠隔からコードを実行されるおそれがある、とENISAやGoogle Cloudの整理でもCriticalとされています。ウェブの利用者が入力するパスワードの問題ではなく、サーバー上で動く言語の実行基盤の問題です。一般の閲覧者が「鍵マークがあるから大丈夫」と判断できる種類の話ではありません。

世界では、修正を急げない組織がサイトを休止する動きが出ています。BBCは、フィンランド政府や英エディンバラ市議会、BBC自身の一部ページなどがオフラインになった例を伝えています。米国家安全保障局（NSA）も、PHPを使う組織に修正できない場合はシステムをオフラインにするよう促した、と報じられています。日本の首相が「一時停止も有効」と言った背景には、こうした国際的な対応の地図があります。地図の中で、日本は首相と国家サイバー統括室が同じ夜に動いた、という位置づけです。

ITmedia NEWSは、エンジニアから「総理が発信したことにより、経営層にもリスクが認知される」といった評価が出ている、と伝えています。技術部門が夜間に修正を求めても、停止の判断が経営に上がらない、という現場の壁はこれまでもありました。首相が一時停止を「有効策の一つ」と書いたことは、停止を決める側の後押しになり得る、という読みです。なり得る、までで、すべての企業が止めたわけではありません。止めたかどうかは、各社の障害情報で確認します。

脆弱性の詳細は、修正版の公開前にソーシャルメディア上で流出し、概念実証コードも出回っていた、とITmediaは伝えています。PHP財団は当初、今月後半の公表を予定していたが、流出を受けて急ぎ発表した、とBBCも整理しています。公開前の攻撃の試みも観測されていた、という説明もあります。情報の流出が対応を早めた一方で、未修正のサイトにとっては攻撃の手がかりが先に広がった、という緊張でもあります。

家計や一般の利用者にとって、今夜できることは限られます。自分が運営するサイトがなければ、パスワードを一斉変更する必要は、公式に漏えいが確認されたサービスからの案内が出るまでは急ぎません。できるのは、よく使う銀行や通販、自治体サイトが緊急メンテナンスに入っていないかを公式の障害ページで確認すること、更新を装った不審なメールのリンクを踏まないこと、です。サーバーの修正は、通常は運営側の作業です。

政治面では、消費減税の審議が続く国会週に、サイバーの緊急対応が重なりました。減税の日程を止めたわけではなく、首相の発信チャネルが技術リスクの注意喚起に使われた、という重なりです。重なりを、減税の世論と短絡しません。短絡せずに残すのは、首相が「大至急」と書き、翌日には「遮断した」と自ら示した時系列です。時系列の次は、官邸や各省のサイト、地方自治体の公開ページがどう動いたかの続報です。

News.comは、攻撃手順の再現や、未修正サイトを探す方法は書きません。書くのは、公式の修正版番号、首相と国家サイバー統括室の呼びかけ、官房長官の被害報告の有無、事務所サイト遮断の事実です。特定の民間サイトが侵害された、という未確認情報は扱いません。確認資料は、PHP公式、国家サイバー統括室・IPAの案内、各社報道の日付付きの発言です。

国会や行政の公開サイトが止まった場合、申請や届出の期限がどう扱われるかは、各省・自治体の個別案内が正です。止まったことだけを理由に、期限が自動で延びるとは限りません。延びる場合は、公式に「延長する」と書かれた文書を見てください。書かれていなければ、窓口に確認する段階です。確認の電話が混むことも想定し、余裕のある手続きは前倒ししない判断も必要です。

首相の事務所サイトの遮断は、個人の政治活動の発信が一時止まる、という意味でもあります。政策の国会審議そのものが止まったわけではありません。止まった発信と、止まっていない国会を混ぜないでください。混ぜると、減税の日程までサイバーで延期された、という誤読が起きます。誤読を避けるため、本稿はサイバー対応の時系列に閉じます。

エンジニア以外の責任者向けには、次の三つの質問が実務的です。PHPを使っているか。使っているなら誰が更新できるか。今夜までに更新できないなら、公開を続けるか止めるか。三つ目で止まる選択をした場合、利用者への一文の案内（予防的な停止であること、再開のめどがあればその時刻）を用意すると、問い合わせが減ります。めどがなければ、「確認が終わり次第」と書く方が、未確認の再開時刻を出すより安全です。

一次情報の優先順位は、PHP公式の修正版一覧、国家サイバー統括室とIPAの注意喚起、官房長官の被害報告の有無、各社の障害情報です。SNSの未確認の侵害リストは、公式と照合できない限り記事にしません。読者は、自分のサイトや契約サービスの担当窓口だけを連絡先にしてください。

地方自治体や外郭団体のサイトは、更新権限が庁内にないケースもあります。委託先の制作会社や共同利用のクラウド基盤に、版番号と適用予定を文書で確認する必要があります。確認が夜をまたぐ場合、公開面を残すか止めるかの判断だけは、委託先待ちにせず先に決めた方が安全です。判断を先送りすると、流出した攻撃情報が先に回る時間だけが伸びます。

ホスティング会社が「計画メンテナンス」と案内する場合も、利用者は被害確定と決めつけない方がよいです。予防停止と、侵害後の調査停止は意味が違います。案内文に「予防」「注意喚起を受けた」とあれば、まずはその文言を正とします。文言が曖昧なら、問い合わせ先は契約サービスの窓口に限るのが安全です。

News.comは、この記事のあとでも、修正版番号の追加や、官房長官の被害報告の更新があれば日付を付けて直します。特定の民間サイト名を、未確認の侵害リストから拾って並べる更新はしません。並べると、誤った風評が公式の注意喚起より先に広がるからです。

午後11時前後の修正公開は、日本の深夜帯の作業になります。深夜に入れられない組織は、一時停止か、公開面の遮断を翌日朝まで延ばす判断になります。延ばす判断を取るなら、そのあいだのアクセス制限が実効かどうかが問われます。制限なしのまま「明日直す」だけだと、流出した攻撃情報が先に回る時間を渡すことになります。首相が「今夜」と書いた意味は、その時間差を意識した表現としても読めます。

各省のサイトが止まった場合、報道各社への連絡や会見の配信経路も別チャネルになります。官邸の記者会見は、ウェブサイトとは別の運用で続くことがあります。続く会見と、止まった政策サイトを、同じ「政府が沈黙した」にまとめないでください。まとめないことが、緊急対応の記事の読み方です。

まとめ

高市早苗首相は21日夜、PHPの重大な脆弱性について「大至急」の対応を呼びかけ、適用が難しい場合はサイト停止も有効だと示しました。自身の事務所サイトは遮断し、木原官房長官は現時点で関係する被害報告はないとしています。