PHP脆弱性で国内大手はどう動いたか｜auじぶん銀行とセガなどの公式発表を比較

今回のPHP重大脆弱性を受け、国内の金融・エンターテインメント企業は、修正の適用、認証機能の一時停止、製品情報サイトの公開停止など、サービスごとに異なる対応を公表しました。一方、公開停止の発表は、不正アクセスや情報流出が発生したという報告とは限りません。各社の案内には、予防措置であることや、被害を確認していないことも記載されています。

本記事は2026年10月22日に直接確認した企業の公式告知をもとに、auじぶん銀行、バンダイナムコID、バンダイナムコエクスペリエンス、セガの対応を整理します。比較のため、PHP更新の完了を具体的な版と時刻で公表したMovable Typeクラウド版の事例も取り上げます。各社の全システムを調査したものではなく、公開された対象範囲に限った報告です。

同じPHP脆弱性でも停止する範囲は違う

今回の対象はCVE-2026-109618とCVE-2026-109619です。PHP公式の10月21日付告知は、認証なしの遠隔コード実行につながる問題として修正版の適用を求めています。アプリケーションの不具合を直すだけではなく、処理を実行するPHP自体の修正が必要になる問題です。

企業の告知を読む際は、会社名だけでなく、対象サービスと機能を確認する必要があります。会員認証の停止は、そのIDを使う利用者へ広く影響し得ます。一方、製品情報ページの停止を、その会社のゲームや決済の全面停止へ読み替えることはできません。

公表主体・対象	公式案内で確認できた内容	読み取りの注意
auじぶん銀行	10月22日9時30分時点で主要サービスは通常利用可能。一部問い合わせは委託先メンテナンスで停止	修正対応の継続と主要サービスの稼働を併記している
バンダイナムコID	10月21日23時から翌2時までの緊急メンテナンスを予定	予定時間の経過だけで完了とは判断しない
バンダイナムコエクスペリエンス	10月21日22時頃から各種サービスの緊急メンテナンスを案内	詳細な時間は各サービスの公式案内へ誘導
セガ製品情報サイト	10月21日22時55分から緊急メンテナンス。22日10時54分更新の告知では復旧日時未定	対象は製品情報サイトとして公表されている
Movable Typeクラウド版	10月22日0時12分にPHP 8.3.36へ更新し全顧客環境で対応完了と説明	ソフトウェア版・AMI版は別の対応を求めている

表の時刻は国内企業の案内に基づく日本時間です。「現在」という語だけでは後から読んだ際に状態を誤認しやすいため、本稿では告知の更新時点を併記しています。最新の利用可否は、それぞれの公式案内で再確認してください。

auじぶん銀行は主要サービスと委託先の停止を分けた

auじぶん銀行の公式案内は、10月22日0時40分時点で、修正の適用によりWebサイト、インターネットバンキング、アプリの一部が一時的に使えなくなる場合があると説明していました。

同じページの9時30分時点の更新では、必要な修正の対応を続けながら、Webサイト、インターネットバンキング、アプリなどの主要サービスは通常利用できるとしています。一方、一部の問い合わせサービスは、委託先のメンテナンスによって利用できず、当日夕方までの予定と説明しています。

同行は、この件に関連する不正アクセスや情報漏えいを確認していないとも記載しています。この記述は同行の確認状況についての説明です。本稿から、すべての関連サービスに影響がなかった、または全修正が完了したと広げることはできません。

本サイトの分析では、この事例の特徴は、主要サービスの利用可否と、委託先を含む一部機能の停止を同じ案内で分けた点です。利用者は「銀行が止まっているか」という一つの判断ではなく、行いたい手続きが対象かを確認できます。運営側にとっても、自社の基盤だけで状況を説明できない依存関係が表れています。

バンダイナムコIDは認証機能全体の停止を予告

バンダイナムコIDの公式告知は、PHP脆弱性への予防措置として緊急メンテナンスを案内しました。英語表示では10月21日14時から17時UTCとされ、日本時間では21日23時から22日2時に相当します。作業の進行によって変更される予定です。

対象はログイン、新規登録、そのほかのバンダイナムコID関連機能です。ポータル自体も利用できなくなるため、メンテナンス中の最新案内を公式Xアカウントで確認するよう誘導しています。また、告知時点で外部からの不正アクセスや登録情報などの漏えい・損傷を示す証拠は見つかっていないと説明しています。

本稿で確認したこの案内は実施予定の告知です。予定終了時刻を過ぎたことだけを根拠に、完了時刻や実際の停止時間を確定しません。また、ID機能の停止から、グループの全ゲームや全店舗が同じ時間に全面停止したと推測することも避けます。

本サイトの分析では、認証という共通機能を止める際には、告知を読むための経路まで一緒に止まるかが重要です。この事例は、利用停止の対象だけでなく、利用者が続報を得る場所も明示しています。メンテナンスページを出すだけでは伝わらない情報を、別の公式経路へ移した形です。

同じグループでも各サービスの案内を確認する

バンダイナムコエクスペリエンスの公式告知も、サーバーで利用するPHPの脆弱性を理由に、各種サービスの緊急メンテナンスを案内しています。開始は10月21日22時頃からとし、詳細な時間を各サービスのWebサイトやSNSで確認するよう求めています。

同告知は、脆弱性を悪用した被害や利用者データの流出を確認していないと説明しています。予防的な安全確保と、被害の発生を区別する材料です。ただし、その説明を別の法人や、名前が似たサービスの状態へ流用することはできません。

本サイトでは、この二つの告知を一つの停止時間に統合していません。バンダイナムコIDとバンダイナムコエクスペリエンスでは、公表主体も案内するサービス範囲も異なるためです。グループ単位の見出しだけで情報をまとめると、開始時刻や影響範囲を誤って伝えるおそれがあります。

セガは製品情報サイトの全ページを対象に案内

セガの10月22日付公式案内は、製品情報サイトsega.jpについて、前日22時55分からPHP脆弱性対応の緊急メンテナンスを実施していると説明しています。確認した10月22日10時54分更新の内容では、復旧日時は未定です。

公表された影響は、製品情報サイトの全ページが閲覧・利用できないことです。表示についても、当初の503エラーからメンテナンスページへ変わった旨が追記されています。この案内を、セガの全オンラインサービス停止や、利用者情報の流出発表と読み替える根拠はありません。

本サイトの分析では、この追記は、利用者が実際に見る状態と告知の説明を合わせる役割があります。エラー表示が変わっても、それだけで作業の完了や安全性が確認されたとは限りません。公表された復旧状況と、ブラウザーで見える画面の変化を分けて読む必要があります。

完了を版と時刻で示したMovable Typeクラウド版

比較対象として、シックス・アパートの公式報告は、Movable Typeクラウド版を10月22日0時12分にPHP 8.3.36へ更新し、全顧客環境で二つのCVEへの対策を完了したと説明しています。利用者の追加作業はないとされています。

自動アップデートを無効にした顧客も対象であり、Movable Type本体の版番号は変わっていないことも明記されています。一方、ソフトウェア版やAMI版の利用者には、PHPを修正版へ更新するよう別に求めています。同じ製品名でも提供形態によって対応が異なる事例です。

本サイトの分析では、この報告は、完了した範囲と利用者側に作業が残る範囲を見分ける比較材料になります。「緊急メンテナンス」とだけ書かれた告知に対して、実施時刻、修正済みのPHP、顧客側の操作の有無がそろっています。ただし、これを他社の完了基準や実施状況として転用はできません。

企業の停止告知から何が分かり何が分からないか

今回確認した公表には、予防的な停止、部分的な機能制限、対応の継続、適用完了という異なる状態が含まれます。これらをすべて「被害企業」や「復旧済み企業」と一括りにすると、脆弱性への対応と実際の侵害を混同します。

本稿の比較は、各社の対応速度を順位付けするものでもありません。開始時点の構成、修正の取得元、委託先、確認に必要な機能が公開されていないためです。停止時間の長短だけでは、対策の十分さや技術力を評価できません。

Web運営者が参考にできるのは、利用者が必要とする説明の組み立てです。何が使えないか、いつの情報か、予定か完了か、次の案内はどこか、被害の確認状況はどうかを分けると、憶測を減らせます。本サイトの提案として、自社の告知でもこれらを独立した項目として記載する方法が考えられます。

本記事の対象企業について、非公開の修正内容、調査ログ、全サーバーの適用状況を確認したわけではありません。国内企業が今回どのように行動を公表したかを、確認できる範囲で伝える続報です。

関連記事

• PHP重大脆弱性2件の原因と修正版：今回の技術的な影響と更新対象を扱う先行記事です。
• 国内ホスティング各社のPHP緊急修正対応：サービスを支えるホスティング事業者の公表を比較しています。