2026年10月21日以降、すき家やはま寿司、大戸屋など、大手外食チェーンでアプリやWEB予約などのサービス停止が相次ぎました。
突然いつものアプリが使えなくなり、
「なんで飲食店のアプリが一斉に止まったの？」
「PHPってそもそも何？」
「重大な脆弱性ってどのくらい危険？」
「ハッキングされたということ？」
「個人情報は大丈夫？」
と不安になった人もいるのではないでしょうか。
今回注目されているのが、WebサイトやWebサービスの開発で広く利用されている「PHP」というプログラミング言語です。
PHP公式は2026年10月21日、認証なしでリモートコード実行につながる可能性がある2件の重大な脆弱性を修正したセキュリティアップデートを公開しました。
しかも2件とも、深刻度を示すCVSS v4.0で9.2（Critical）と評価されています。
ただし、ここで非常に重要なポイントがあります。
「重大な脆弱性が存在した」ことと、「実際に攻撃されて個人情報が流出した」ことは同じではありません。
実際、大戸屋はPHPの重大な脆弱性を受けて予防的に緊急メンテナンスを実施したと説明し、不正アクセスや情報漏洩などの被害が発生したための停止ではないと明記しています。
この記事では、2026年10月に公表されたPHPの重大な脆弱性とは何なのか、なぜ外食チェーンがアプリやネット注文を止めるほどの対応を取ったのかを、専門用語をできるだけかみ砕いて解説します。
- そもそもPHPとは？
- 2026年10月にPHPで何が起きた？
- 「認証なしのリモートコード実行」って何？
- CVSS 9.2ってどれくらい危険？
- どのPHPバージョンが修正された？
- なぜ飲食店がPHPの脆弱性でサービスを止めるの？
- 大戸屋は「予防的措置」と明記
- 「予防的措置」ってどういうこと？
- 大戸屋は「不正アクセス・情報漏洩ではない」と説明
- 脆弱性・攻撃・情報漏洩は全部違う
- すき家・はま寿司でも安全確保を優先
- なぜ復旧まで時間がかかるの？
- PHP公式は「すぐ更新」を強く推奨
- 一般利用者はPHPをアップデートする必要がある？
- 「復旧はこちら」という偽サイトにも注意
- 自分のWordPressサイトにも関係ある？
- 外食チェーンがサービスを止めたのは「安全側」の判断
- PHPの重大な脆弱性についてよくある質問
- まとめ｜PHPの脆弱性と情報漏洩は別！予防のためサービスを止めることもある
- 公式情報・参考リンク
そもそもPHPとは？
PHPは、WebサイトやWebサービスを作るために広く利用されているプログラミング言語です。
私たちが普段利用しているWebサービスでは、画面に見えているデザインだけではなく、裏側でさまざまな処理が行われています。
たとえば、
- ログインする
- 商品を検索する
- 予約する
- 注文内容を送信する
- 会員情報を読み込む
- 問い合わせフォームを送信する
などです。
PHPは、こうしたWebサービスの裏側を動かす技術として世界中で利用されています。
PHP公式も「Web開発に特に適した汎用スクリプト言語」と説明しています。
そのためPHPそのものに重大なセキュリティ問題が見つかった場合、影響範囲が非常に広くなる可能性があります。
2026年10月にPHPで何が起きた？
PHPのセキュリティチームは2026年10月20日、翌21日に重大なセキュリティアップデートを公開すると異例の事前告知を行いました。
対象となるのは2件の重大な脆弱性。
どちらもCVSS v4.0で9.2と評価されていました。
| 項目 | 内容 |
|---|---|
| 事前告知 | 2026年10月20日 |
| セキュリティ更新 | 2026年10月21日 |
| 重大な脆弱性 | 2件 |
| CVSS v4.0 | いずれも9.2（Critical） |
| 主な危険性 | 認証なしのリモートコード実行につながる可能性 |
そして10月21日、PHP公式はセキュリティアドバイザリを公開。
PHP 8.5.12、8.4.27、8.3.36、8.2.35で2件の重大な脆弱性を修正したと発表しました。
「認証なしのリモートコード実行」って何？
今回のPHP公式発表で特に重要なのが、unauthenticated remote code executionという言葉です。
日本語では「認証なしのリモートコード実行」などと表現されます。
かなり難しそうな言葉ですが、分けて考えると理解しやすくなります。
- 認証なし＝ログインなどをしていなくても
- リモート＝離れた場所から
- コード実行＝コンピューター上で命令を実行される可能性がある
つまり、条件がそろった脆弱なシステムでは、攻撃者が正規の利用者としてログインしていなくても、外部から不正な処理を実行できる可能性があります。
もちろん、PHPを利用しているWebサイトがすべて即座に攻撃されるという意味ではありません。
しかし、Webサービスを運営する企業にとっては放置できない重大な問題です。
CVSS 9.2ってどれくらい危険？
CVSSは、セキュリティ上の脆弱性がどの程度深刻なのかを評価するために使われる指標です。
今回の2件は、CVSS v4.0で9.2。
評価区分はCritical（緊急・重大）です。
数字だけを見ると「9.2って高いの？」と思うかもしれませんが、10点満点に近い非常に高い評価です。
さらにPHP公式は、すべてのPHP利用者に対して速やかなアップデートを強く推奨しました。
単なる軽微な不具合修正ではなく、セキュリティ上かなり重要な更新だったことがわかります。
どのPHPバージョンが修正された？
PHP公式が10月21日に公開した修正版は次の通りです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP公式は、Webリクエストを処理するPHP環境が対象になり得ると説明しています。
そのためWebサイトやオンラインサービスを運営する側では、自社システムが影響を受ける構成なのか確認し、必要に応じて速やかに更新する必要があります。
なぜ飲食店がPHPの脆弱性でサービスを止めるの？
「PHPの話なのに、なぜすき家やはま寿司など飲食店のサービスが止まるの？」
ここが一般利用者には最もわかりにくい部分かもしれません。
現在の飲食店は、店舗で料理を提供するだけではありません。
インターネット上では、
- 公式サイト
- 店舗検索
- 会員サービス
- アプリ
- 来店予約
- テイクアウト予約
- ネット注文
- クーポン
- 問い合わせフォーム
など、さまざまなシステムを提供しています。
その裏側でPHPなどのWeb技術が使われている場合、重大な脆弱性が公表されれば影響確認が必要になります。
安全性を確認できない状態でサービスを動かし続けるより、一時的に停止して点検・更新するという判断が行われることがあります。
大戸屋は「予防的措置」と明記
今回、PHPとの関係を非常に明確に説明しているのが大戸屋です。
大戸屋は公式サイトで、世界中の多くのWebサービスで利用されているPHPに重大な脆弱性が公表されたことを受け、予防的な措置として緊急メンテナンスを実施したと発表しました。
公式サイトのメンテナンス期間は、
2026年10月21日21時30分頃～10月22日14時10分頃
でした。
作業完了後、公式サイトは通常通り利用できる状態へ復旧しています。
「予防的措置」ってどういうこと？
予防的措置とは、実際に被害が起きてから対応するのではなく、被害が起きる可能性を考えて先に対策することです。
たとえば大雨が予想されるとき、川が実際に氾濫してから避難するのではなく、危険が高まる前に避難するのと考え方は似ています。
システムでも、
「重大な脆弱性が公表された」
↓
「自社システムへの影響を確認する」
↓
「安全性を確保するため一時停止する」
↓
「必要なアップデート・検証を行う」
↓
「安全を確認してサービスを再開する」
という対応が考えられます。
サービス停止そのものが、必ずしも「すでに攻撃された証拠」ではありません。
大戸屋は「不正アクセス・情報漏洩ではない」と説明
ここは今回のニュースで特に重要です。
大戸屋は公式発表で、今回のメンテナンスについて、
システムの安全確保を目的としたものであり、不正アクセスや情報漏洩などの被害が発生したことによるものではない
と明記しています。
つまり少なくとも大戸屋について、
「PHPに脆弱性があった」
↓
「だから大戸屋から個人情報が漏れた」
と結び付けるのは誤りです。
脆弱性・攻撃・情報漏洩は全部違う
ニュースを見る際は、次の4つを分けて考える必要があります。
| 言葉 | 意味 |
|---|---|
| 脆弱性 | システムに存在するセキュリティ上の弱点 |
| 攻撃 | その弱点などを利用して外部から不正な行為を試みること |
| 侵害 | 攻撃などによってシステムへ不正に入り込まれること |
| 情報漏洩 | 本来外部へ出るべきではない情報が流出すること |
脆弱性が見つかったからといって、必ず攻撃されたわけではありません。
攻撃されたからといって、必ず情報が流出したとも限りません。
逆に、重大な脆弱性だからこそ、企業側が被害発生前にサービスを止めることもあります。
すき家・はま寿司でも安全確保を優先
同じ時期に、すき家やはま寿司でもオンラインサービスが一時停止しました。
すき家では、インターネットサービスのセキュリティ上の安全性を確保するため、一部サービスを停止。
10月23日17時時点ではWEB弁当予約など一部機能が復旧する一方、公式アプリは停止が続いています。
はま寿司でも、来店予約やWEBお持ち帰り注文が停止。
10月23日の公式発表では、安全性の確保とシステム環境の再構築を進めており、両サービスの再開までにはしばらく時間を要する見込みとしています。
各社で発表内容や対象サービスは異なるため、すべてのサービス停止について原因やシステム構成が完全に同じだと断定することはできません。
ただし、利用者の利便性よりもシステムの安全性を優先していることは、各社の対応から読み取れます。
なぜ復旧まで時間がかかるの？
「アップデートするだけなら、すぐ直せないの？」
と思うかもしれません。
しかし企業が運用するWebサービスは、個人のスマートフォンアプリを更新するように簡単とは限りません。
一般的には、
- 自社システムが影響を受けるか確認
- PHPなど対象ソフトウェアを更新
- 関連システムへの影響を確認
- 正常に予約・注文できるかテスト
- 会員情報などが正常に扱われるか確認
- セキュリティ上問題がないか再検証
などの作業が必要になる場合があります。
予約や決済、会員情報を扱うサービスなら、急いで再開した結果、別の問題が起きてしまっては意味がありません。
そのため、安全確認に時間がかかることがあります。
PHP公式は「すぐ更新」を強く推奨
PHP公式は10月21日のセキュリティアドバイザリで、今回の2件についてすべてのPHP利用者へ直ちにアップデートするよう強く推奨しています。
対象となるWeb環境にはPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが挙げられています。
特にmod_phpについては、認証されていないリクエストから攻撃を成立させられることが実証され、リスクが高いと説明されています。
Webサービスの運営側にとって、今回が非常に優先度の高いセキュリティ対応だったことがわかります。
一般利用者はPHPをアップデートする必要がある？
普通に飲食店のアプリやWeb予約を利用しているだけの人が、自分のスマートフォンでPHPを更新する必要はありません。
PHPは主にWebサービスを提供するサーバー側で利用される技術です。
利用者側として重要なのは、
- 公式の復旧情報を確認する
- 利用できないサービスを無理に操作し続けない
- 公式以外の怪しい「復旧ページ」を開かない
- 情報漏洩など未確認情報を鵜呑みにしない
といった点です。
「復旧はこちら」という偽サイトにも注意
大規模なサービス障害やセキュリティニュースが話題になると、それに便乗した偽サイトやフィッシングメッセージが登場する可能性もあります。
たとえば、
「アプリ復旧のため再ログインしてください」
「会員情報を再登録してください」
「クーポンを再発行します」
などとして、ID・パスワードやカード情報の入力を促された場合は注意が必要です。
サービスの復旧状況は、各企業の公式サイトや公式アプリなど信頼できる情報源から確認しましょう。
自分のWordPressサイトにも関係ある？
PHPはWordPressを動かすためにも利用されているため、WordPressサイトの運営者にとっても無関係ではありません。
ただし、自分のサイトでどのPHPバージョンやサーバー構成を利用しているかによって必要な対応は異なります。
レンタルサーバーを利用している場合は、まず利用しているサーバー会社からセキュリティ対応やPHP更新について案内が出ていないか確認しましょう。
自己判断で設定を大きく変更すると、WordPressやプラグインが正常に動かなくなる可能性もあります。
サーバー会社やWordPress関連サービスの公式案内に沿って対応することが大切です。
外食チェーンがサービスを止めたのは「安全側」の判断
利用者からすれば、アプリや予約が突然使えなくなるのは不便です。
しかし重大な脆弱性が公表された場合、
「たぶん大丈夫だから動かし続ける」
よりも、
「安全性を確認できるまで一度止める」
という判断のほうが利用者情報を守るうえでは慎重です。
今回、大戸屋が公式に「予防的な措置」と説明していることは、この違いを理解するうえで非常にわかりやすい例です。
PHPの重大な脆弱性についてよくある質問
Q. PHPとは何？
WebサイトやWebサービスの開発で世界中で利用されているプログラミング言語です。
Q. 2026年10月に何が見つかった？
認証なしのリモートコード実行につながる可能性がある2件の重大な脆弱性が公表されました。
Q. どのくらい深刻？
2件ともCVSS v4.0で9.2、Criticalと評価されています。
Q. 修正版は出ている？
はい。2026年10月21日にPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。
Q. 外食チェーンのサービス停止はサイバー攻撃されたから？
サービス停止だけを根拠にそう断定することはできません。大戸屋はPHPの重大な脆弱性を受けた予防的措置であり、不正アクセスや情報漏洩などの被害によるものではないと公式に説明しています。
Q. 個人情報は流出した？
「脆弱性があること」と「情報漏洩が発生したこと」は別です。個人情報流出については、各企業の公式発表を確認してください。
Q. 普通の利用者もPHPを更新する必要がある？
飲食店のアプリやWebサービスを利用している一般利用者が、自分のスマートフォンでPHPを更新する必要はありません。
Q. WordPress利用者は関係ある？
WordPressはPHPを利用しています。サイト運営者は利用中のレンタルサーバー会社などから最新のセキュリティ案内が出ていないか確認するとよいでしょう。
まとめ｜PHPの脆弱性と情報漏洩は別！予防のためサービスを止めることもある
2026年10月21日、PHP公式は2件の重大な脆弱性を修正するセキュリティアップデートを公開しました。
- PHPで2件の重大な脆弱性が公表
- どちらもCVSS v4.0で9.2（Critical）
- 認証なしのリモートコード実行につながる可能性
- PHP公式は速やかなアップデートを強く推奨
- 大戸屋はPHPの脆弱性を受け予防的に緊急メンテナンス
- 大戸屋は不正アクセス・情報漏洩被害による停止ではないと明記
- すき家・はま寿司などでも同時期にオンラインサービスへ影響
- 脆弱性・攻撃・情報漏洩はそれぞれ別
今回もっとも覚えておきたいのは、「重大な脆弱性が見つかった＝すでに個人情報が盗まれた」ではないということです。
重大なセキュリティ上の弱点が判明したからこそ、実際の被害を防ぐためにサービスを止めて安全確認を行う場合があります。
アプリやネット注文が利用できないと不便ではありますが、安全性を確認してからサービスを再開することも重要なセキュリティ対策のひとつです。
今後も各社の復旧状況は変化する可能性があります。
サービスを利用する際は、SNS上の未確認情報ではなく、各社公式サイトの最新発表を確認しましょう。
コメント