使っているサイトが脆弱性の影響を受けたとき、利用者がやること

ログインしようとしたら「緊急メンテナンス中」と出て、入れなかったこと、ありませんか。あとでニュースを見たら、PHPの脆弱性、と書いてありました。脆弱性って、パスワードが弱いという意味でしたっけ。うちのパスワードも、関係あるんでしょうか。全部変えるのか、放っておいていいのか、で、結局どっちなんですか。変える前に、誰かがどこかで「漏れた」と言っているのかどうかだけ、まず探してきます。

はじめまして、モノサシ屋のみつきです。ニュースの数字や公式の発表を、読む順番に並べて比べています。

結論｜漏えいの公表は見つからず、案内が出たら従う

2026年10月23日に確認できた範囲では、PHP2Shell（CVE-2026-109618／109619）による利用者情報の漏えいを公表した公式告知は、見つかりませんでした。最初にやることは1つです。使っているサービスから案内が出たら、その案内に従います。使い回しているパスワードがあれば、この件と関係なく変えます。(出典: pixiv 緊急メンテナンスのお知らせ、さくらインターネット お知らせ、ロリポップ！ お知らせ)

pixivは2026年10月22日付の告知で、この脆弱性に起因する被害は確認されていないと書いています。さくらインターネットは2026年10月22日14時現在の調査として、この脆弱性を悪用した不正アクセスや情報漏えい等の被害は報告されていないと書きました。ロリポップ！は、脆弱性を狙ったとみられるアクセスの試みは確認したものの、不正アクセスや情報漏えいは確認していないと報告しています。

PHP2Shellの全体像は、PHP2Shellとはにまとめています。

利用者に起きたこと・起きにくいこと｜端末での作業は出てこない

2026年10月21日、pixivとBOOTHは19時から23時30分まで、緊急メンテナンスで止まりました。理由は、PHPで見つかった未公開の脆弱性への対応です。BOOTHはメンテナンス中、pixivアカウントでログインできず、購入などができない場合がありました。ログインや購入が止まるという形では、利用者にも影響が出ています。(出典: pixiv 緊急メンテナンスのお知らせ、BOOTH お知らせ)

• 2026年10月21日 19時〜23時30分pixivとBOOTHが、緊急メンテナンスで止まる
• 2026年10月21日 夜PHPの修正版が公開される（日本時間の23時ごろ。情報源により22時台とする記録もある）
• 2026年10月22日pixivが、この脆弱性に起因する被害は確認されていないと告知する

一方、見る側の端末では、PHPの更新は出てきません。PHPはサーバーの側で動くソフトです。解説ブログのsitepickは、スマホやパソコン側での対応は不要で、ブラウザで閲覧する人に直接影響しない、と整理しています。利用者向けの手順を示した公的機関の案内は見つかりませんでした。(出典: sitepick PHP脆弱性の解説)

確認できた範囲を、項目ごとに並べます。

→ 横にスクロールできます

サイトのサーバーに侵入された場合の話として、セキュリティ企業のCrowdStrikeは、設定ファイルにあるデータベースやAPIの認証情報の窃取の足場になりうる、と説明しています。国内で侵害が確認された例は、pixiv・さくら・ロリポップ！の各告知には書かれていませんでした。(出典: CrowdStrike ブログ)

パスワードを変える場面と変えなくてよい場面

変える場面は2つです。1つ目は、使っているサービスから案内が届いたとき。2つ目は、同じパスワードを複数のサービスで使い回しているときです。

案内の出ていないサービスについては、この件だけを理由に慌てて変える必要があるとは示されていません。

案内が届いたときの動き方を、順番に並べます。

1. 1メールのリンクは開かない
2. 2公式アプリかブックマークから開く
3. 3案内を読んで、指示どおりに変える

使い回しをやめる方法は、パスワード管理ツールの選び方に整理しています。

カード明細・ログイン通知の見方

案内が出たサービスにカードを登録しているなら、案内のあとに、カード会社のアプリか明細で、身に覚えのない請求がないかを見ます。ログインの通知メールは、見覚えのない端末や時間のものがないかを見ます。この脆弱性によるカード情報の漏えいは公表されていません。

→ 横にスクロールできます

1. 1

   カード会社のアプリを開く

   利用明細の一覧を、案内が出た日から見ます。

2. 2

   ログイン通知を探す

   サービスから届いたログインの通知メールを、見覚えのあるものとないものに分けます。

3. 3

   覚えのないものを伝える

   請求ならカード会社へ、ログインならサービスの公式窓口へ伝えます。

偽のお知らせに備える｜リンクから入らず、ブックマークか公式アプリから

この件に便乗した偽メールや偽SMSの注意喚起は、確認した範囲では出ていません。フィッシング対策協議会の緊急情報には10月分の掲載がなく、IPA、JPCERT/CC、エックスサーバー・ロリポップ！・さくら・ConoHa WINGの告知にも、便乗の記載は見当たりませんでした。(出典: フィッシング対策協議会 緊急情報、IPA 注意喚起、JPCERT/CC AT-2026-0033)

ただし、サーバー会社を装う偽メールは、以前からあります。エックスサーバーは2026年4月5日に、同社を装ったフィッシングメールへの注意喚起を出しました。ドメインが間もなく失効するとして今すぐの更新を迫り、支払い通知を名乗って、ボタンから決済ページへ誘導する内容です。同社は、不審なメールのリンクを開かない、ファイルをダウンロードしない、真偽が分からないときは同社の公式サポートへ問い合わせる、と案内しています。(出典: エックスサーバー 注意喚起)

届いたお知らせは、メールのリンクから入らず、ブックマークか公式アプリから確かめます。ブラウザに警告の画面が出る場合は別の話で、偽のウイルス警告の対処にまとめています。

情報の確認日: 2026年10月23日

まとめ｜案内が出たら従い、使い回しは別件で変える

1. 1端末では、何も更新しない
2. 2届いたら、公式アプリかブックマークから開く
3. 3使い回しの有無を見直す