PHP脆弱性で止まるサービス一覧|グラブル・シャドバ・pixiv・コドモンなどが使えないのはなぜ?修正版は23時に公開、いつ再開?

PHP(ウェブサイトを動かすプログラムの言語)に「緊急」レベルの欠陥が2件見つかり、修正版が今夜10月21日(水)23時(日本時間)に公開されます。それに備えて、グラブル・シャドバ・コドモン・BASE・pictSQUARE・アルファポリスなどが、サービスを止める/メンテナンスに入ると発表しました。

【10月22日9時追記】一夜明けて、再開の状況です(朝9時時点、各社の公式Xなどで確認。10時に「阿部寛のホームページ」を追加)。

pixiv(pixiv・ピクシブ百科事典・pixivFANBOXなど):10/21 23:30にメンテナンス終了。利用できます
DLsite:10/22 7時前に「メンテナンス終了」と発表
グラブル:公式Xが10/22 8:35に「GREE版」の緊急メンテナンス終了を発表。DMM版は「終了次第お知らせ」
コドモン:公式は「10/22早朝に再開の見込み」と案内。園の発信などでは、3時22分ごろに一部機能を除いて再開したとされています
BASE:終了予定を10/22 8:00まで延長(その後の発表は公式Xで確認を)
ツイキャス:10/22 0:50時点で「対応完了にはもうしばらく時間がかかる見込み」
シャドバWB:開始は22:00ごろに前倒し。9時時点で終了のお知らせは見当たりません
unityroom・ふりーむ!(無料ゲームの投稿サイト):9時時点でどちらもメンテナンス中(実際に開いて確認。unityroomは10時時点でもメンテナンス中)
阿部寛のホームページ(表示が速いことでネットの「最後の砦」と呼ばれてきた俳優・阿部寛さんの公式サイト):置き場所の「@niftyホームページサービス」が10/22 2:00から緊急メンテナンスに入り、10時時点で開くと@niftyのお知らせ画面になります(実際に開いて確認)。ページ自体は昔ながらのHTMLですが、サービス側の仕組みがPHPを使っているため、巻き込まれた形。Xでトレンド入りし「あの阿部寛まで」と話題に

再開したサービスも、アプリの更新のお知らせがあれば従いましょう。

【10月21日23時追記】予定どおり修正版が公開されました。PHPの公式サイト(php.net)が10月21日付で、PHP 8.5.12・8.4.27・8.3.36・8.2.35を公開し、「すべてのPHP利用者はただちに更新を」と呼びかけています。2件の欠陥は、どちらもログインなしで外からプログラムを動かされうる(リモートコード実行)もの(CVE-2026-109618・CVE-2026-109619)。PHP 8.1以前は公式の更新対象外ですが、今回は深刻さを考えて、7.4・8.0・8.1向けにも最小限の修正が用意されました。各社のメンテナンスは、この修正版を当てて確かめてから再開する流れです。

同じ夜、pixiv(pixiv・ピクシブ百科事典・pixivFANBOXなど、10/21 19:00〜10/22未明の予定)も緊急メンテナンスに入りました。高市早苗さんのXアカウント(@takaichi_sanae)も21時55分に「今夜に対応して頂きたい大至急のお願い」として、サイト運営者に修正の準備と、すぐ当てられない場合は一時停止も有効策の一つ、と呼びかけています。利用者がやることは変わらず、「公式の再開のお知らせを待つ」「便乗した偽メールに注意」の2つです。

【10月21日20時追記】ツイキャス(22:30〜、終了未定)、プリコネR・文アル・REALITY(23:00〜)、ニコニコ漫画(19:00〜22日10:00)、ピクシブ百科事典(22日未明まで)もメンテナンスを発表したため、一覧に追加しました。

どこも「今のところ不正アクセスや情報漏えいは確認されていない」と説明していて、止めるのは被害を防ぐための予防です。再開は早いところで10月22日(木)の朝の見込み。この記事は10月21日18時時点の情報です。

ひとことで言うと
PHP脆弱性で止まる・メンテするサービス一覧(10月21日20時時点)
何が起きた?(時系列)
なぜ修正版が出る前から止めるの?
利用者が今日やること
自分でサイトを運営している人は
まだ分かっていないこと
まとめ
出典

ひとことで言うと

「家の鍵に欠陥が見つかって、新しい鍵が今夜23時に届く。それまで店を閉めておく」という状態です。

PHP=多くのウェブサイトやゲームのサーバーで使われているプログラムの言語
欠陥(脆弱性)は2件。危険度の点数(CVSS)はどちらも9.2で、10点満点のうち「緊急」の区分
PHPの開発チームが10月20日に「21日の日本時間23時に修正版を出す」と予告
中身はまだ公式には非公開。ただ「直す前に悪用のしかたが出回った」という情報もあり、各社が早めにシャッターを下ろした
利用者のデータ(作品・購入履歴など)は消えない、と説明している会社が多い

つまり、「使えない=壊れた・盗まれた」ではなく、「念のため閉めている」ということです。

PHP脆弱性で止まる・メンテするサービス一覧(10月21日20時時点)

各社の公式発表(XやWebサイト)で確かめたものだけをのせています。時刻は日本時間。

グランブルーファンタジー(グラブル):10/21(水)23:00〜10/22(木)7:00(予定)に緊急メンテナンス。時間は暫定で延長の可能性あり、終了後も不具合が出る可能性があるとのこと。
Shadowverse: Worlds Beyond(シャドバWB):10/21(水)23:00〜未定。「シャドナビWB」と公式サイトも見られなくなります。メンテ前に始めたバトルも含めてノーコンテスト(開催中のグランプリも同じ)。終了時にお詫びのカードパックチケット1枚。
コドモン(保育園・幼稚園の連絡アプリ):保護者アプリを含む全サービスを10/21の昼から順次停止。再開は10/22(木)早朝の見込み(時刻は確定しだい公式Xで)。
BASE(ネットショップ作成サービス):緊急メンテナンスの開始を前倒しして、10/21(水)15:50から。
pictSQUARE・pictBLand・pictSPACE・翡翠SINGS:10/21(水)夕方から一時停止。閲覧・ログイン・投稿・購入すべて不可。10/22(木)中の再開を目指す。作品・投稿・購入履歴などのデータはそのまま。
アルファポリス:運営するすべてのWebサイト・アプリを一時停止中。「安全性が確認され次第再開」。
小説家になろう:10/21の17時ごろから、一部の接続元からのアクセスに臨時の接続制限(サービス全体の停止ではありません)。
さくらインターネット:対応のため機能を一部停止(日本経済新聞の報道)。
ツイキャス:10/21(水)22:30から、サービス停止を伴う緊急メンテナンス。終了時刻は未定。「不正アクセス等に伴うものではない」予防の措置。
プリンセスコネクト!Re:Dive(プリコネR):10/21(水)23:00ごろからメンテナンス。メンテ中はプレイできません。
文豪とアルケミスト(文アル):10/21(水)23:00から緊急メンテナンス。被害やデータ流出は確認されていないとのこと。
REALITY(アバター配信アプリ):10/21(水)23:00〜24:00に緊急メンテナンス。
ニコニコ漫画:10/21(水)19:00〜10/22(木)10:00(予定)に緊急メンテナンス。この間は利用できません。
pixiv(pixiv・pixivFANBOXなど):10/21(水)19:00〜10/22(木)未明(予定)に緊急メンテナンス。終了時刻は前後する場合あり。
ピクシブ百科事典:メンテナンス中で見られません。終了は10/22(木)未明の予定。現時点で被害は確認されていないとのこと。

ほかにも、PHPを使っているサイトやレンタルサーバーで、今夜から明日の朝にかけてメンテナンスが入る可能性があります。いつも使っているサービスの公式Xを見ておくのが確実です。

【緊急メンテナンスのお知らせ】
10月21日(水)現在、皆さまの情報とサービスの安全を守るための予防的な措置として、保護者アプリを含むコドモンの全サービスを順次停止しております。…
— コドモン公式_こども施設ICTソフト (@codmon_official) October 21, 2026

本日午前1時頃、「The PHP Group」より本サーバーで使用しているPHPの脆弱性の発見の発表が行われました。
システムの安全性のため、メンテナンスを実施いたします。
なお、本件による被害やデータ流出等は確認されておりませんのでご安心ください。

▼メンテナンス期間
10/21（水） 23:00 ～未定…
— Shadowverse: Worlds Beyond（シャドバWB）公式 (@shadowverse_jp) October 21, 2026

何が起きた?(時系列)

10月20日(日本時間21日の午前1時ごろ):PHPのセキュリティチームが「重大な脆弱性2件を修正する版を、10月21日14:00(UTC)=日本時間23:00に出す」と予告(php.netのお知らせ)。対象のバージョンや中身は、公開のときに発表。「詳細が公になったり、悪用の兆しがあったりしたら前倒しする」とも。
10月21日午前:ITmedia NEWSなどが報道。GMO Flatt Securityが、研究者の投稿で使われた「php2shell」という名前で解説を公開。
10月21日 13時ごろ:国家サイバー統括室(@cyber_forecast)が、PHPを使っているか確かめて23時の修正にすぐ対応できるよう準備を、と注意喚起。
10月21日午後〜夕方:コドモン、BASE、pictSQUARE、シャドバ、なろう、アルファポリス、グラブルなどが停止・メンテナンスを次々に発表。
10月21日 23時:修正版の公開予定。各社はこのあと修正を当てて、動作を確かめてから再開。

PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いいたします。https://t.co/TFPc8QIdUN
— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast) October 21, 2026

なぜ修正版が出る前から止めるの?

ふつうは「修正版が出る→すぐ当てる」で済みます。今回、各社が先に止めた理由は大きく2つです。

危険度が最高クラス:CVSSは2件とも9.2。セキュリティ会社GMO Flatt Securityの解説では、外からサーバーでプログラムを動かされる(リモートコード実行)タイプとみられ、WordPressなどの上でも再現したと研究者が投稿しているとのことです。
「悪用のしかたが先に出回った」との情報:pictSQUAREは「修正プログラムの公開前に、この脆弱性を悪用する方法がインターネット上で公開されたとの情報もあります」と説明しています。どこまで出回ったのかは、公式には確認されていません。

「穴の場所がなんとなく知られてしまったので、鍵が届くまで店を閉める」という判断ですね。

【10月22日追記】「修正版が出たら、むしろ攻撃される」のはなぜ?
Xでは「23時にパッチを配布するのに、それに合わせて攻撃されるってどういうこと?」という素朴な疑問(10月22日20時時点で2.3万いいね)と、その答えのたとえ話が大きく広まりました(引用した投稿は11万いいね・518万表示)。答えをざっくり言うと、修正版(パッチ)は「どこを直したか」がわかる=「どこが穴だったか」の答え合わせになってしまうからです。修正の前後を見比べれば、穴の場所と突き方を割り出しやすくなります。そのため、修正版の公開直後から「まだ直していないサーバー」をねらう攻撃が増えやすく、各社が公開と同時に急いで当てる・それまで止めておく、という動きになりました。

23時にパッチを配布するのに、それに合わせて攻撃されるってどういうことなの？
今弱いなら今攻撃されるんじゃないの？
— 隈黒まぐろ🎣 (@mag_VRchat) October 21, 2026

利用者が今日やること

あわてなくてOK:今のところ、どの会社も不正アクセス・情報漏えいは「確認されていない」と説明しています。
使っているサービスの公式Xを確認:再開時刻はXや公式サイトで知らせる、という会社がほとんどです。
シャドバは23時前のバトルに注意:メンテ開始で、プレイ中の対戦はノーコンテストになります。
保育園・幼稚園(コドモン):登降園・欠席の連絡は、園が案内する方法(電話・紙など)で。コドモンは施設向けに代わりの運用のひな形を出しています。
「パスワードを変えて」などの不審なメール・DMに注意:大きなニュースのあとは、それに便乗した偽のお知らせが出やすいです。公式アプリ・公式サイトから自分で開いて確かめましょう。
再開後は、アプリの更新のお知らせがあれば従う。

自分でサイトを運営している人は

WordPressなど、PHPで動くサイトを持っている人は、23時以降にサーバー会社(レンタルサーバー)のお知らせを確認。多くの場合、PHPの更新はサーバー会社側で行われます。
自分でサーバーを管理している人は、修正版が出たらすぐ更新できるよう準備を(公式の呼びかけ)。
GMO Flatt Securityは、修正版の前にできる手当てとして「session.upload_progress.enabled=0」(セッションのアップロード進行状況の機能を切る)を挙げています。ただし「完全に防げるとは限らない」としています。