PHPの脆弱性で止まった証券会社・銀行は？大和証券や三菱UFJモルガン・スタンレー証券、静岡銀行のネットバンキングも——ログインなしで乗っ取られる欠陥、WordPressでブログを書く私が調べた「個人がやる3つのこと」

PHPの脆弱性（ぜいじゃくせい＝プログラムの欠陥）で、10月21日の夜から銀行・証券会社・官公庁のサイトが次々に止まった。静岡銀行はネットバンキングを一時停止し、大和証券は口座開設などのサービスを、三菱UFJモルガン・スタンレー証券は本人確認などの手続きを止めた。高市首相もXで「大至急のお願い」と修正プログラムの適用を呼びかけた。

先に答えを書いておく。サイトが止まったのは「乗っ取られる前に自分で止めた」ケースがほとんどで、預金が消えるような話ではない。全国銀行協会も「銀行間の決済関連への影響は確認されていない」としている。ただし、今回の欠陥はログインなしでサーバーを乗っ取れるうえ、パスワードなどがメモリから読み出せる恐れもある、かなり危ない種類だ。私たち個人にも「あとから効いてくる」ことがあるので、やっておきたいことを3つにまとめた。

実は、私のこのブログもWordPressで動いていて、WordPressはPHPで作られている。つまり当事者の一人だ。今朝、まず自分のブログが普通に表示されることを確かめてから、この記事を書いている。

PHPの脆弱性とは？世界のサイトの約7割に関わる欠陥

PHPは、Webサイトを動かすためのプログラミング言語だ。ブログでおなじみのWordPressをはじめ、ネットショップ、予約サイト、会員ページなど、世界のWebサイトの約7割で使われているといわれる。

今回見つかった欠陥は2件。どちらも深刻度は最高ランクの「Critical」（緊急）で、10段階で9.2と評価された。中身をざっくり言うと次のとおりだ。

• ログインしなくても、外からサーバーで好きなプログラムを動かせる恐れ（専門用語で「リモートコード実行」）。乗っ取りにつながる
• サーバーのメモリから、パスワードやAPIキーなどを読み出せる恐れ。乗っ取りまでいかなくても情報が漏れる
• PHP 5.4以降のほぼすべてのバージョンが、少なくとも1件の影響を受けるとされる

発見したセキュリティ会社は、WordPressなど有名なソフトの最新版で、実際にログインなしで乗っ取れることを確かめたという。WordPressでブログを書いている私には、これが一番こたえた。

見つけたのはAIだった

今回の欠陥は、セキュリティ会社がOpenAIなどと組み、最先端のAIを使って見つけたと発表している。AIは欠陥を探すのにも、攻撃の手順を組み立てるのにも、修正の確認にも使われた。守る側がAIで見つけられるなら、攻める側もAIで見つけられる。「AIの時代のサイバー攻撃」が、いよいよ身近になってきたと感じる。

PHPの脆弱性で止まった銀行・証券・官公庁のサイト

修正版のPHPは、日本時間の10月21日23時に公開された。それまでに準備が間に合わないところや、念のため止めたところが相次いだ。報道や各社の告知で確認できたのは、たとえば次のようなところだ。

セキュリティの情報をまとめているブログの集計では、22日の深夜1時台までに、告知で確認できただけで国内211の組織が停止やメンテナンスを知らせていた。海外でも、パリ警視庁のサイトにつながらなくなったり、フィンランド政府が一般向けのサイトを予防的に止めたりと、世界中で同じことが起きている。

私のブログが借りているレンタルサーバーの会社も、名前が挙がっていた。21日の夜から22日の朝にかけて、多くの会社のエンジニアが夜通し修正を当てていたはずだ。

首相がXで「大至急のお願い」

高市首相は21日夜、Xに「大至急のお願い」と投稿し、修正プログラムをできるだけ早く当てる準備をするよう呼びかけた。すぐに当てられない場合は、サイトを一時的に止めることもリスクを下げる有効な手の一つだ、とも書いている。首相がプログラムの欠陥について名指しで呼びかけるのは異例で、それだけ危ないということだろう。IPA（情報処理推進機構）や政府の国家サイバー統括室も注意を呼びかけた。

私たちのお金は大丈夫？PHPの脆弱性で個人が気をつけること

ここからが本題だ。サイトを持っていない私たち個人は、何を心配すればいいのか。私なりに整理すると、ポイントは「止まったこと」より「止まらなかったところ」と「このあと」にある。

サイトの停止は「守りのため」。預金は消えない

銀行や証券会社のサイトが止まると不安になるが、今回の停止は攻撃されたからではなく、乗っ取られないように自分から閉めたものがほとんどだ。家に例えると、「鍵が壊れていると分かったので、新しい鍵がつくまでシャッターを下ろした」状態に近い。全銀協も、銀行どうしのお金のやりとりに影響はないとしている。

困るのは、止まっている間に振り込みや支払いをしたい場合だ。今回、静岡銀行のネットバンキングが止まった時間に、引き落としの入金や家賃の振り込みをしようとしていた人もいただろう。こういうときのために、もう1つの口座とクレジットカードを「予備」として使える状態にしておくのは大事だと思った。

本当に怖いのは「止めなかったサイト」と、あとから出る情報漏れ

大きな会社はすぐに止めたり修正したりできるが、世の中には放っておかれたままのサイトもたくさんある。小さなネットショップ、更新の止まったお店のホームページ、何年も前に会員登録したきりのサービス――そういうところで修正が遅れれば、登録したメールアドレスやパスワードが盗まれる恐れがある。

実際、修正版が出た直後から、攻撃を試すような動きがあったとセキュリティ会社が報告している。盗まれた情報が使われるのは、数週間〜数か月後になることも多い。「今日は何も起きなかったから安心」とは言い切れない。

「緊急メンテナンス」「パスワード再設定」をうたう偽メールに注意

大きなニュースのあとには、それに便乗した偽メールやSMSが出てくるのがお決まりだ。今回なら、たとえば次のような文面が考えられる。

• 「システムの脆弱性対応のため、パスワードの再設定をお願いします」
• 「緊急メンテナンスにともない、口座の確認が必要です」
• 「セキュリティ更新のため、こちらから本人確認をしてください」

銀行や証券会社が、メールのリンクからパスワードを入れさせることは基本的にない。お金に関わるサービスには、メールやSMSのリンクからは入らず、公式アプリか自分で保存したブックマークから開く。これだけで、偽サイトにパスワードを入れてしまう危険はぐっと減る。詐欺の手口については投資詐欺・ぼったくりの典型パターンの記事にもまとめた。

今日からできるPHPの脆弱性対策——個人がやる3つのこと

サイトを運営していない人でも、できることはある。私自身もこれから見直すつもりのことを並べておく。

1. パスワードの使い回しをやめる（せめてお金まわりだけでも）：どこかのサイトから漏れても、同じパスワードを銀行や証券口座で使っていなければ被害は広がらない。最低でも銀行・証券・クレカ・メールの4つは、ほかと違うものにしておきたい
2. 二段階認証（ワンタイムパスワード）をオンにする：パスワードが盗まれても、スマホに届くコードがなければログインできない。証券口座の設定は証券口座の開き方の記事で「最初にやる3つの設定」として書いた
3. しばらくは利用明細をこまめに見る：クレカや銀行のアプリで、身に覚えのない引き落としがないか週に1回は確認する。早く気づけば、補償を受けやすい

あわせて、使っていないサービスの会員登録は、この機会に退会しておくのもいい。古いサイトほど修正が遅れがちで、そこから漏れたパスワードが一番危ないからだ。

ブログを運営する私が、PHPの脆弱性で考えたこと

自分のブログについて言えば、私はサーバーの中身を自分で管理しているわけではない。レンタルサーバーの会社がPHPを更新してくれる仕組みなので、今回は会社の対応を待つことになった。私にできるのは、管理画面のパスワードを見直すことと、WordPress本体やプラグインを最新にしておくことだ。今日のうちにやっておく。ブログを読みに来てくれる人に迷惑をかけるわけにはいかない。

今回いちばん感じたのは、「ネットのサービスは、当たり前に動いているわけではない」ということだ。銀行も、楽天市場も、役所のサイトも、1つの言語の欠陥で一晩のうちに止まる。その裏では、多くのエンジニアが夜通し修正に追われていた。

そして、AIで欠陥が見つかるスピードが上がれば、こういう「一斉に止まる夜」はこれからも増えるかもしれない。だからこそ、パスワードを使い回さないこと、二段階認証をオンにすること、予備の口座とカードを持っておくこと。地味だけれど、私たち個人にできる守りはこのあたりだと思う。

このニュースのあと、もう1つ「個人情報が漏れたらどうなるか」を考えさせられるニュースがあった。タイムズカーで160万件の情報が流出した件だ。パスワードだけでなく、免許証の画像のような本人確認の書類が漏れたときに何が起きて、何をすればいいのかは、免許証の画像が流出したらどうなる？の記事にまとめた。また、今回のようにネットバンキングが止まったときの「予備の口座」をどこに置くかは、普通預金の金利が0.5%になった記事で、お金の置き場所として整理している。

※2026年10月22日朝の時点で報道や各社の発表から確認できた情報にもとづきます。サービスの停止・再開の状況は、各社の公式サイトや公式アプリで確認してください。