PHP脆弱性の緊急メンテはいつ終わる？今できること

いつものサイトを開いたら「緊急メンテナンス」の画面しか出ず、ログインも決済もできません。今週はそんな状態のサービスがいくつも出ていて、終了時刻が書かれていないことも多いです。

この記事は、使いたいサービスがメンテナンス中で困っている人に向けて書いています。PHPで動くサイトを運営していて、自分のサイトが大丈夫か気になっている人にも読んでほしい内容です。

止まっている理由、再開したかの見分け方、利用者が今できること、運営者がやる対策の順に書いていきます。

緊急メンテナンスが相次いでいる原因はPHP2Shell

結論から書くと、原因はPHPの重大な脆弱性（セキュリティの穴）です。番号はCVE-2026-109618とCVE-2026-109619で、通称「PHP2Shell」と呼ばれています。PHP公式はすでにセキュリティアドバイザリ（注意情報）を出し、修正版も公開しました。

穴の中身は、PHPのメモリ管理の不備です。悪用されると、リモートコード実行につながります。リモートコード実行とは、外から勝手にプログラムを動かされることです。

そもそもPHPは、たくさんのWebサイトの裏側で動いている仕組みです。通販サイトや会員サイト、ゲームの公式ページなど、使われている場所は幅広くあります。だから、まったく別のサービスが同じ時期にいっせいに止まっています。

ただ、止まっているのは乗っ取られたからではありません。多くは予防的措置（先回りの安全対策）として、運営側が自分からサービスを止めています。悪用しようとする動きは観測されています。ただし、実際の被害は今のところ確認されていません。

止まる機能と、再開したかを見分ける方法

タイトルの「止まったサービス一覧」について、正直に書いておきます。どのサービスが止まり、どこが再開したかをまとめた確かな一覧は、ここでは確認できていません。なので、個別のサービス名は出さないことにします。自分が使うサービスの状況は、そのサービスの公式発表で確かめるしかありません。

そのかわり、止まり方のパターンは分かっています。大きく分けると、次の4つです。

メンテナンス画面が出て、サイトやアプリに入れない
ログインだけができない
決済やポイント購入だけが止まっている
サービス全体が緊急停止している

再開したかどうかは2か所で見る

再開したかの判断は、「メンテナンス終了」の告知が出ているかどうかで決まります。見る場所の順番は次のとおりです。

そのサービスの公式サイトにあるお知らせページ
そのサービスの公式Xの最新ポスト

両方で終了の告知が出ていれば、再開したと判断して大丈夫です。ただし、一部だけ再開するパターンもあります。たとえば、ログインは戻ったのに決済はまだ止まっている、という形です。告知に「一部の機能を除いて再開」のような書き方がないか、最後まで読んでおきましょう。

PHP脆弱性の緊急メンテはいつ終わる？利用者が今できること

メンテナンス画面を開いても、終了予定の時刻がどこにも書かれていません。そんな画面を前に、いつまで待てばいいのか迷っている人も多いです。

今回は、終了時刻を決めないままメンテナンスに入ったサービスが多くあります。具体的な復旧時刻について、各サービスの公式からの発表は見当たりません（2026-10-22時点）。公式の目安ではありませんが、PHPを入れ替えて動作を確かめるだけでも、数時間から1日ほどかかる作業です。

👉 関連：佐川急便のメンテナンス時間はいつまで？追跡・日時変更の対処法

その間に利用者ができることは、シンプルで3つだけです。

そのサービスの公式サイトを開き、お知らせページを見る
公式Xで最新のポストを確かめる
「メンテナンス終了」の告知が出るまで待つ

待つのも対策です。利用者の側でPHPの穴をふさぐことはできないので、運営側の作業が終わるのを待つことになります。

SNSでは「もう直った」「今日中に終わるらしい」といった話も流れてきます。でも、公式の告知がない話はうのみにしないでおくのが無難です。

個人的には、公式Xとお知らせページの2か所を見ておけば十分だと感じています。あちこちのまとめを探し回るより、そのほうが早く確実に再開を知れます。

サイト運営者向け：CVE-2026-109618の対策手順

PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）へ更新する
PHP-FPMやWebサーバーを再起動する
コンテナ環境なら、イメージを作り直してデプロイする（入れ替えて公開する）

影響を受けるのは、PHP 8.2〜8.5系です。自分のサーバーが使っている系統に合わせて、同じ系統の修正版を入れます。PHP 8.1以前は公式サポートがすでに終わっていて、今回の修正版の対象に入っていません。修正をソースから取り込む（バックポート）か、サポート中のバージョンへ環境ごと移す必要があります。

更新の前に、次の4つを確かめておくと作業がスムーズです。

使っているPHPのバージョン（8.2〜8.5系に入るか）
session.upload_progress.enabled などのPHP設定
WAF（Web Application Firewall、不正な通信を止める仕組み）で守られているか
CMSやフレームワークが、どのPHPのバージョンに依存しているか

よくある勘違いも2つあります。1つ目は、メンテナンスモードのプラグインで脆弱性まで防げると思ってしまうことです。あれは画面をメンテナンス中の表示に切り替えるだけで、PHP本体の穴はそのまま残ります。

2つ目は、WordPressなどのアプリだけ更新して終わりにすることです。ここが一番の誤解です。穴があるのはPHP本体なので、本体が古いままでは意味がありません。

情報の出どころは、PHP公式（php.net）のセキュリティリリースと、IPA（情報処理推進機構）です。SNSで流れてくる断片より先に、この2つを見ておきましょう。

まとめ

最後に、押さえておきたい点を3つだけ置いておきます。

結論：一連の緊急メンテナンスは、PHP2Shellへの予防的措置です。脆弱性の番号はCVE-2026-109618とCVE-2026-109619です。多くのサービスは終了時刻が決まっていません。
次にやること：利用者は公式サイトのお知らせ→公式Xの順に見て、「メンテナンス終了」の告知を待ちます。運営者はPHPを8.5.12／8.4.27／8.3.36／8.2.35に更新し、PHP-FPMを再起動します。
覚えておくこと：メンテナンスモードのプラグインやWordPressの更新だけでは足りません。リモートコード実行の穴はPHP本体にあるので、本体を更新しないとふさがりません。

PHP2Shellによる緊急メンテナンスの終了は、各サービスの公式Xとお知らせページで確かめてください。運営する側は、PHP本体を自分の系統の修正版に上げるまで、対策は終わっていません。

👉 関連：ニコニコ動画・生放送が見られない？緊急メンテの確認方法