プログラミング言語「PHP」の重大な脆弱性を巡り、日本では2026年10月21日、高市早苗首相がXで緊急対応を呼び掛け、財務省などが一部のウェブサービスを予防的に停止した。

同じ日、ロシアでは企業向け業務管理システムを提供する1C-Bitrixがクラウドサービスの機能を制限し、ホスティング事業者Begetも顧客のウェブサイトを保護するための措置を実施した。一方、ラトビアでは政府・自治体のウェブサイトが一時停止され、英国でも政府機関が緊急の注意喚起を行った。

世界共通の脆弱性に対し、各国の政府や企業は実際にどのような対応を取ったのか。10月21～22日に公表された具体的な措置を比較した。

日本では首相がXで注意喚起、省庁のサイトも一時停止

日本では10月21日夜、高市首相が自身のXでPHPの重大な脆弱性について注意喚起し、修正プログラムを速やかに適用できるよう準備を求めた。迅速な対応が難しい場合には、ウェブサイトなどを一時停止することも有効な対策として紹介した。

独立行政法人情報処理推進機構（IPA）も同日、修正版の公開に備えた事前準備を要請した。

財務省は管理下のウェブサーバーや関連システムの緊急点検と修正プログラムの適用作業を進めるため、ホームページの一部コンテンツやサービスを一時停止した。厚生労働省も一部コンテンツで予防的な公開停止措置を取った。

10月22日、木原稔官房長官は関係機関への注意喚起や対応状況を説明し、その時点で政府機関や重要インフラ事業者に関係する被害報告は受けていないと述べた。

ロシアの1C-Bitrix、顧客管理などの業務機能を一部制限

ロシアでは、企業向けの業務管理ソフトウェアなどを提供する1C-Bitrixが、10月21日に顧客向けの緊急対応を発表した。

同社は、顧客情報や営業活動、社内業務を管理するクラウドサービス「Bitrix24」と、ウェブサイトの構築・運営に使うソフトウェアを提供している。Bitrix24は、日本のサイボウズが提供する「kintone」などに近い用途を持つ業務支援サービスである。

1C-Bitrixは今回、クラウド版Bitrix24の一部機能を予防的に制限した。10月21日の更新情報では、フォーム、顧客管理システム（CRM）の取引管理、メール、業務プロセスなどに影響する可能性があると説明した。

同社は、問題が自社製品のコードではなく、サーバー側で使用するPHPに存在することを強調。修正版の適用と安全性の確認を進めたうえで、制限した機能を段階的に復旧させる方針を示した。

また、利用者自身がサーバーを管理する製品については、サーバー管理者やホスティング事業者に更新作業を依頼するよう求めた。

ロシアのホスティング事業者Beget、サイト運営に関わる機能を制限

ロシアのウェブホスティング事業者Begetも、10月21日に予防措置を公表した。

Begetは、日本のエックスサーバーやさくらインターネットと同じく、企業や個人がウェブサイトを公開・運営するためのレンタルサーバー、クラウドサーバー、ドメイン登録などを提供している。

Begetは、自社管理のレンタルサーバーや専用サーバーについて、PHPのファイルアップロード状況を追跡する機能を制限した。さらに、ファイル送信に使われる一部通信を一時的に制限する計画も示した。

また、クラウドデータベースの管理画面についても一時的にアクセスを制限したと発表した。これらの措置によって、利用者のウェブサイトではファイルのアップロードや一部のフォームなどに影響が出る可能性があると説明している。

1C-Bitrixが自社のクラウド業務サービスの機能を制限したのに対し、Begetは顧客のウェブサイトを支えるサーバー環境で対策を実施した。両社とも、脆弱性の悪用を防ぐための予防措置として公表している。

ラトビアでは政府・自治体サイトが一時停止、英国も緊急警告

バルト三国のラトビアでは、政府のサイバーセキュリティ対応機関CERT.LVが10月21日、複数の政府デジタルサービスについて、国外からのアクセスを一時的に制限する決定を公表した。ラトビア国防省もXでこの決定を説明し、民間企業に対してシステムの点検と更新を呼び掛けた。

ラトビアの公共放送LSMによると、同国では政府・自治体の165機関のウェブサイトを収容する共通基盤が一時停止した。省庁や大統領府のサイトも利用できなくなり、LSM自身のニュースサイトも予防措置として約5時間停止した。

その後、政府・自治体の共通ウェブサイト基盤には必要なセキュリティ更新が施され、10月21日23時（現地時間）のCERT.LVの発表では、国内からのアクセスが復旧した。一方、一部の政府デジタルサービスでは国外からのアクセス制限が継続していた。

英国では、国家サイバーセキュリティセンター（NCSC）が10月21日、PHPを使用するシステムの速やかな更新を要請し、修正を直ちに適用できない場合には、一時的な停止を検討するよう勧告した。

また、英国の公的医療制度を支えるNHS England Digitalも同日、今回の脆弱性に関するサイバーセキュリティ警報を「High（高）」に分類して公表した。

予防的な停止と実際の被害は別――各国で確認された対応

日本やロシア、ラトビアで実施されたサイト停止や機能制限は、脆弱性を悪用した攻撃による被害が確認されてからではなく、危険を減らすための予防措置として公表された。

ラトビアのCERT.LVは10月21日23時の更新情報で、国内において今回のPHP脆弱性を悪用しようとする自動化された攻撃の試行が確認された一方、成功した攻撃についての情報はないと説明した。

10月21～22日に各国で公表された対応では、日本では首相による直接の注意喚起と省庁の一時停止、ロシアでは1C-Bitrixによる業務機能の制限とBegetによるサーバー側の予防措置、ラトビアでは政府系サイトの停止と段階的な復旧、英国では全国向けと医療分野向けの公的な警告が確認された。

同じ世界的な問題であっても、対策を公表した主体や、利用者に実際に生じた制限の内容は異なる。日本の行政機関、ロシアの民間事業者、ラトビアの政府機関の事例は、いずれも実際の侵入被害を前提としたものではなく、被害を防ぐためにサービスの一部を止める判断が行われたことを示している。

出典
ITmedia NEWS（2026年10月22日）
［原文の記事はこちら］

KAB ONLINE／ANN（2026年10月22日）
［原文の記事はこちら］

LSM（2026年10月21日）
［原文の記事はこちら］

LA.LV／LETA（2026年10月21日）
［原文の記事はこちら］

公式発表
情報処理推進機構（2026年10月21日）
［公式発表はこちら］

財務省（2026年10月21日）
［公式発表はこちら］

1C-Bitrix（2026年10月21日）
［公式発表はこちら］

Beget（2026年10月21日）
［公式発表はこちら］

CERT.LV（2026年10月21日）
［公式発表はこちら］

英国国家サイバーセキュリティセンター（2026年10月21日）
［公式発表はこちら］

NHS England Digital（2026年10月21日）
［公式発表はこちら］

AIの利用について
本記事の作成には生成AIを利用しています。内容の正確性・完全性を保証するものではありません。詳細については、上記の出典および公式発表をご確認ください。