すき家のアプリも銀行の手続きも止まった。PHP騒動をサラリーマン目線で眺めた数日

今週、IT業界の外でもかなり大きなニュースになったのが、プログラミング言語「PHP」の脆弱性騒動です。私はエンジニアではありません。ただのサラリーマンで、米国株投資をしている一利用者です。それでも今回ばかりは、画面の向こうの話では済みませんでした。

何が起きたか（事実だけ先に）

10月21日、PHPの開発チームが「重大な脆弱性が2件見つかった」と発表し、修正プログラムを公開しました。PHPは世界のウェブサイトの約7割で使われている仕組みで、企業のホームページや各種サービス、WordPressのようなブログ基盤の裏側で動いています。

欠陥の内容は、平たく言えば「鍵を持っていない人間が、外から合図を送るだけでサーバーの中に入れてしまう」レベルのものだったと報じられています。見つけたのはセキュリティ企業で、生成AIの支援を受けて発見した、とOpenAIが明らかにしています。10年以上前から潜んでいた欠陥を、AIが掘り当てたそうです。

公表直後から、この弱点を突こうとする攻撃が世界中で観測されました。各社は「やられる前に止める」判断を次々に下します。

• 三菱UFJ銀行：オンラインの口座開設などを臨時メンテナンスとして停止
• 大和証券：21日夜から、口座開設や住所変更などのWeb手続きを停止
• 日本航空：ホームページの一部が閲覧不可に（予約や運航には影響なし）
• ゼンショー：すき家などのアプリ利用を停止
• スカイマーク：航空券のキャンセル・変更フォームを停止
• 気象庁や財務省でも一部のコンテンツが停止

高市首相は自身のXで「大至急のお願いです」と修正の適用を呼びかけ、自分のホームページも一時停止しました。米国のNSAは国内の全組織に対応を要請し、欧州のサイバー部門は「対応できないならネットから切断も検討を」と警告しています。PHPの開発団体は、兆候を把握しながら対応が遅れたことを「構造的な失敗」と認めました。

サラリーマンの生活は、だいたいPHPの上にある

ニュースを見て最初に思ったのは、「自分の使うものは大丈夫か」でした。

冷静に並べてみると、銀行の手続き、証券会社の手続き、飛行機の予約変更、牛丼チェーンのアプリ。私の平日は、だいたいこの手のサービスの上で回っています。その土台の名前を、私は今回初めて意識しました。PHP。普段は存在すら知らない仕組みが止まると、生活のあちこちが同時に止まる。当たり前だと思っていたものが、実は一つの共通部品にぶら下がっていたわけです。

資産運用をしている身としては、証券会社の「手続き停止」の文字は胃にきます。今回は口座開設や住所変更の停止で、売買そのものへの影響は報じられていません。でも、もしこれが取引時間中のログイン障害だったら、と思うと背筋が伸びます。自分の資産の安否確認すら、他人のサーバーのご機嫌次第。この依存の深さは、投資のリスクとは別枠で数えておくべきものだなと感じました。

利用者としての本音

ここからは少し愚痴です。

サービスを予防的に止める判断自体は正しいと思います。泥棒に入られる前にシャッターを閉めるのは当然です。ただ、止めるたびに困るのは、いつも末端の利用者と、現場で電話を受ける人たちです。今回も、止まった先には「チャットや電話で対応しています」という一文が添えられていました。その電話の向こうで謝り続けているのも、どこかの社畜です。

そして、止めた会社の中の人たちを思うと、同じ社畜として笑えません。公表されたその日から、エンジニアと情シス部門はたぶん徹夜の連続です。平時は「コスト」と呼ばれて予算会議で真っ先に削られるセキュリティ対策が、事故のときだけ「なぜやっていなかった」と責められる。平時の備えに金も人も出さず、いざとなれば現場の根性で何とかしろ、という構図は、業種を問わず見覚えがありすぎます。私の会社も例外ではないでしょう。

AIが10年越しの欠陥を見つけた、という部分も複雑な気持ちで読みました。「AIに仕事を奪われる」という議論はよく聞きますが、今回はAIが守る側で大活躍した。一方で、同じ道具を攻撃側が先に使っていたら、シャッターを閉める間もなくやられていたかもしれない。道具の問題というより、見つけた側がどっちだったかという運の要素が、思ったより大きくなっている気がします。

結局、自分の生活は誰かの徹夜でできている

今回の騒動で一番残ったのは、「社会は、見えない誰かの徹夜で回っている」という当たり前の実感です。私が牛丼をアプリで注文できるのも、給料日に銀行アプリが開くのも、裏側で誰かが欠陥を塞ぎ続けているからです。

利用者としてできることは、正直あまり多くありません。パスワードを使い回さない、公式の案内を確認する、怪しいメールを開けない。その程度です。でも、「止まったら文句を言う前に、塞いでいる側にも社畜がいる」と思えるかどうかで、ニュースの見え方はだいぶ変わります。月曜の朝、自分の会社のシステムが無事に開くことを祈っています。

※この記事は2026年10月21〜24日の報道に基づく個人の感想です。脆弱性の技術的な詳細は、各報道と公式発表を確認してください。

主な出典：日テレNEWS（Infoseekニュース）、サンスポ（共同通信系の報道）、朝日新聞のニュース要点（いずれも2026年10月24日に確認）