真摯に当たり前を実行したサービス・企業をまとめてみた。

議題

前回の記事では、最近頻発している情報漏洩や不正アクセスについて、

「本当に高度なサイバー攻撃だけが原因なのか？」

という視点から、脆弱性管理、権限管理、API設計、監視、委託先管理など、本来であれば当たり前に実施すべきセキュリティ対策について整理しました。

では逆に、

重大な脆弱性が発表されたとき、危険を察知し、サービスを止め、利用者を守る判断をした企業はどう動いたのでしょうか。

今回は、2026年10月に公表されたPHPの重大脆弱性を例に、国内企業やサービスが「いつ止めて、いつ対策し、いつ再開したのか」を時系列で整理します。

PHP側では何が起きていたのか

PHP開発チームは2026年10月21日、重大なセキュリティ問題に対応する修正版を公開しました。

今回問題となった脆弱性には、認証を受けていない第三者によるリモートコード実行につながる可能性のある重大な問題が含まれていました。

PHP修正版・脆弱性情報の公開基準時刻

2026年10月21日 23:00頃（日本時間）

そして重要なのは、PHP側が正式に詳細を公開するより前に、すでにサービス停止を決断していた企業が複数あったことです。

「詳細が全部分かってから判断する」のではなく、重大な危険が予告された時点で、利用者を守るために先に止める。

今回の事例では、その判断の違いが非常に分かりやすく表れました。

日本企業はいつサービスを止め、いつ再開したのか

確認できた事例を、PHPの正式公開時刻である10月21日23:00頃を基準に並べました。

※各社の公式発表をもとに整理しています。すべての停止サービスについてPHPを直接原因と明記しているとは限らず、Webシステムや関連ソフトウェアの重大脆弱性に対する予防措置を含みます。時刻が公開されていないものは「時刻非公表」「順次再開」等としています。

企業・サービス	CLOSE	PHP正式公開との関係	OPEN	対応内容	運営停止・再開のお知らせ
コドモン運営：株式会社コドモンコーポレートサイト	10/21 13:00頃から順次 14:49 全停止完了	約8時間前	10/22 3:22 主要サービス 10/22 順次再開 10/23 9:00 全機能	重大脆弱性の事前情報を把握後、修正版の公開を待たず経営判断でサービスを緊急停止。修正版適用・検証後、安全を確認したサービスから順次再開。	PHP2Shellへの対応を振り返って
Big Advance等運営：株式会社ココペリコーポレートサイト	10/21 20:00頃から順次	約3時間前	10/22〜10/23 順次	重大脆弱性への予防対応としてサービス停止。修正版の適用、安全確認後に順次再開。	サービス一時停止・再開のお知らせ
JR西日本ホテルズ WESTER会員専用宿泊予約等運営：株式会社ジェイアール西日本ホテル開発ほかコーポレートサイト	10/21 20:00	約3時間前	10/22 5:00	関連ソフトウェアの脆弱性を受け、WESTER会員専用宿泊予約、チャットボット、旅ナカアプリ、付帯サービス予約等を予防的に停止。安全確認後に再開。不正アクセス・個人情報漏えいは確認されていないと公表。	サービス一時停止・再開のお知らせ
JAFTAS 運営：株式会社東京共同トレード・コンプライアンス運営会社情報	10/21 21:00頃	約2時間前	10/22 9:30頃	Webサーバーを緊急停止・点検。必要な修正プログラムを適用し、安全性確認後に再開。	緊急メンテナンスのお知らせ
shouin+ 運営：ピーシーフェーズ株式会社コーポレートサイト	10/21 21:00頃	約2時間前	10/26 14:00から順次	PHPを基盤として利用していることからサービスを停止。顧客環境ごとにパッチ適用・検証を行い順次再開。	PHP脆弱性に伴う一時停止・パッチ適用の案内
Pollet 運営：株式会社オズビジョンコーポレートサイト	10/21 21:00	約2時間前	10/23 21:30	PHP重大脆弱性を受け、予防的措置としてサービス停止。安全性確認後に再開。	PHP脆弱性への対応に伴うサービス停止・再開のお知らせ
フランチャイズの窓口運営：株式会社オズビジョンコーポレートサイト	10/21 21:00	約2時間前	10/22 18:00	PHP重大脆弱性を受け、予防的に停止。安全性確認後に再開。
ハピタス運営：株式会社オズビジョンコーポレートサイト	10/21 22:00	約1時間前	10/22 22:00	PHP重大脆弱性を受け、安全性を優先してサービスを予防停止。対策・確認後に再開。
東京書籍各Webサービス運営：東京書籍株式会社コーポレートサイト	10/21 21:00頃	約2時間前	10/22から順次	重大脆弱性への対応として関連サービスを停止。修正パッチ適用、安全確認後に順次再開。	緊急メンテナンスに関するお知らせ
河内屋オンラインショップ等運営：株式会社河内屋会社情報	10/21 21:36頃	約1時間24分前	10/22夜	システム会社からの連絡を受け、予防的な緊急メンテナンスを実施。	緊急メンテナンスのお知らせ
フェローズ Webサービス運営：株式会社フェローズコーポレートサイト	10/21 22:00頃	約1時間前	10/22 12:30〜16:15 順次	修正プログラムを適用し、安全性を確認できたサービスから順次再開。	サービス停止・再開のお知らせ
JR西日本グループ一部Webサイト運営：西日本旅客鉄道株式会社ほか JR西日本コーポレートサイト	10/21 22:00頃から順次	約1時間前	対策完了後、順次	「TWILIGHT EXPRESS 瑞風」、京都鉄道博物館、大阪鉄道病院等の一部Webページについて予防的に外部アクセスを遮断。対策が完了したページから順次公開。	JR西日本公式情報
アイリッジ Webサイト運営：株式会社アイリッジコーポレートサイト	10/21 22:10頃	約50分前	対策確認後	脆弱性対応のため、必要な修正適用が完了するまでWebサイトを停止。	公式サイト
NTT-BP Webサイト運営：NTTブロードバンドプラットフォーム株式会社コーポレートサイト	10/21 22:11頃	約49分前	10/22 13:00頃	予防的にWebサイトを停止。必要な対策と安全性確認を行った後、公開を再開。	Webサイト一時停止・再開のお知らせ
JRE MALLチケット運営：株式会社JR東日本ネットステーション事業主体：東日本旅客鉄道株式会社運営会社 / JR東日本	10/21 22:50	約10分前	10/22 18:30	不正アクセス等を未然に防止するため、サービスを予防的に停止。必要な対策および安全性確認後に再開。	緊急メンテナンスのお知らせ
JRE MALL 運営：株式会社JR東日本ネットステーション事業主体：東日本旅客鉄道株式会社運営会社 / JR東日本	10/21 23:00頃	PHP正式公開とほぼ同時	10/22 順次	ショッピング、電子チケット、モバイルオーダー等を含むサービスで緊急メンテナンスを実施。安全性確認後に順次再開。	緊急メンテナンスのお知らせ
PHP 提供：The PHP Group PHP公式サイト	―	10/21 23:00頃修正版・詳細公開	―	重大なセキュリティ問題への対応版を公開。影響を受ける環境についてアップデートが求められた。	PHP公式リリース情報
RAM＋管理顧客サイト運営：株式会社RAM コーポレートサイト	10/22 0:35までに全停止	正式公開後	自社サイト 7:31 管理サイト 13:23までに順次	管理対象サイトを停止。ホスティング環境への修正反映をサイト単位で確認し、安全確認後に再開。	PHP脆弱性対応のお知らせ
Bankers 運営：株式会社バンカーズコーポレートサイト	10/22 0:43	正式公開後	10/22 1:20	脆弱性詳細を確認後、検証を実施。本番環境をメンテナンス状態にして修正し、安全性確認後に約37分で再開。	緊急メンテナンスのお知らせ
ロリポップ！対象サイト運営：GMOペパボ株式会社コーポレートサイト	10/22 3:00頃から	正式公開後	10/22 13:00頃	影響を受ける環境について緊急対応。PHP修正版をサーバーへ順次適用。	ロリポップ！障害・メンテナンス情報
イビコン Webサイト運営：株式会社イビコンコーポレートサイト	10/22 8:00	正式公開後	10/22 18:40	PHPバージョンアップおよびセキュリティ対応を行い、安全確認後にWebサイトを再開。	PHP脆弱性対応のお知らせ
CramerJapan Webサイト運営：株式会社クレーマージャパンコーポレートサイト	10/22 8:00頃	正式公開後	10/23 16:30頃	必要な対策を実施するためWebサイトを停止。安全性確認後に再開。	緊急メンテナンスのお知らせ
エコスタイル Webサイト運営：株式会社エコスタイルコーポレートサイト	10/22	正式公開後	10/22 16:00頃	修正プログラムを適用し、動作・安全性を確認した後にWebサイトを再開。	ニュース・メンテナンス情報
プロトリオス Webサイト運営：株式会社プロトリオスコーポレートサイト	10/21夜間	詳細時刻非公表	10/22 16:00頃から順次	PHPアップデートおよびセキュリティパッチを適用し、確認済みサイトから順次再公開。	緊急メンテナンスのお知らせ
TREホールディングス Webサイト運営：TREホールディングス株式会社コーポレートサイト	時刻非公表	―	10/22 18:30頃	重大な脆弱性への対応として緊急メンテナンスを実施。安全性確認後に再開。	Webサイト緊急メンテナンスのお知らせ
ヒューマングループ一部Webサイト運営：ヒューマンホールディングス株式会社／グループ各社コーポレートサイト	10/22 一部サイト停止	正式公開後	10/22から順次	対象サイトのPHP利用状況を調査。必要なバージョンアップ、設定変更、安全確認を実施。	Webサイト一時停止のお知らせ
日本能率協会コンサルティング Webサイト運営：株式会社日本能率協会コンサルティングコーポレートサイト	10/22	正式公開後	10/26 14:28	修正プログラム適用および安全確認が完了するまでWebサイトを予防的に停止。	Webサイト再開のお知らせ
アサヒグループ大山崎山荘美術館運営：公益財団法人アサヒグループ財団運営法人サイト	10/22	正式公開後	10/26	脆弱性の影響調査および必要なセキュリティ対策のためWebサイトを一時停止。安全確認後に再公開。	Webサイト停止・再開のお知らせ

特に注目したいのは「23時より前に止めた企業」

PHP側が修正版と脆弱性詳細を公開した基準時刻は、10月21日23:00頃です。

ところが、実際にはその何時間も前からサービスを止めた企業があります。

コドモン：約8時間前
ココペリ：約3時間前
JR西日本ホテルズ／WESTER：約3時間前
JAFTAS：約2時間前
東京書籍：約2時間前
Pollet：約2時間前
ハピタス：約1時間前
JR西日本グループ：約1時間前
NTTブロードバンドプラットフォーム：約49分前
JRE MALLチケット：約10分前

「脆弱性の詳細を全部確認してから考える」のではなく、

「重大な危険が存在する可能性が高いなら、まず止める」

という判断です。

特に象徴的だったコドモンの対応

今回の中でも、特に対応経緯を詳しく公開しているのがコドモンです。

10/21 4:33：PHP開発チームが重大脆弱性と23時の修正版公開予定を発表
9:01：社内で情報を把握
11:37：当初は23時の公開に合わせて夜間停止する方針
12:03：公開前でも攻撃が成立する可能性を受け、停止前倒しを検討
12:37：経営メンバーと緊急停止を決定
13:00頃：サービスを順次停止
14:49：停止対象サービスの停止完了
22:38：PHP修正版と脆弱性詳細を確認
10/22 3:22：主要サービス再開
10/23 9:00：最後の停止機能を再開

ポイントは、「PHPの修正版が公開されたから止めた」のではないことです。

公開前でも攻撃が成立する可能性がある、と判断した時点で停止しています。

サービス停止には当然影響があります。

しかし、利用者の情報が一度外部へ流出してしまえば、それを取り戻すことはできません。

数時間サービスを止めるリスクと、顧客情報を流出させるリスク。

企業として何を優先するのかが非常に分かりやすく表れた事例だと思います。

WESTERは「事故が起きる前」に止めた

JR西日本ホテルズでは、WESTER会員専用宿泊予約等を10月21日20:00から停止しました。

PHP詳細公開より約3時間前です。

そして安全性を確認し、翌10月22日5:00には全サービスを再開しています。

不正アクセスが起きたから止めたのではありません。

不正アクセスを起こさないために止めています。

実際、同社は不正アクセスや個人情報漏えいは確認されていないと公表しています。

これこそが「事故後のセキュリティ」と「事故前のセキュリティ」の大きな違いです。

JRE MALLも正式公開直前に停止

JRE MALLチケットでは、PHP正式公開直前となる10月21日22:50からサービスを停止しました。

その後、必要な対策および安全性確認を行い、10月22日18:30にサービスを再開しています。

JRE MALL本体についても、23時頃から緊急メンテナンスに入りました。

ここでも重要なのは、

「被害が確認されたから止めた」のではなく、被害を起こさないために止めた

という点です。

「止める」という判断は簡単ではない

サービスを止めれば売上が止まります。

ECなら注文できません。

予約サイトなら予約できません。

業務システムなら現場業務にも影響します。

問い合わせも増えます。

だからこそ、

「本当に止める必要がありますか？」

という議論は当然起きます。

しかし、セキュリティでは次の2つを混同してはいけません。

「安全だと確認できているから開けておく」

と

「まだ危険だと証明されていないから開けておく」

は、まったく違います。

止めた企業の対応は、とてもシンプル

今回の各社の動きを並べると、基本的な流れはほぼ同じです。

重大な脆弱性情報を検知する
自社システムへの影響を確認する
安全性を保証できなければ一旦止める
修正版・パッチを適用する
動作確認する
安全性を確認する
安全を確認できたサービスから再開する

ものすごく高度な話ではありません。

危険を察知する。

止める。

穴を塞ぐ。

確認する。

安全になったら開ける。

これを実行しています。

特に重要なのは「開発・保守会社が先に気付くこと」

一般企業の担当者が、PHP、Node.js、Apache、Linux、Ruby、Rails、各種ライブラリの脆弱性情報を毎日確認することは現実的ではありません。

だからこそ、そのシステムを開発・保守している専門家が、

脆弱性情報を継続的に監視する
利用中の技術が対象か確認する
リスクを評価する
発注元へ速やかに報告する
必要であればサービス停止を提案する
修正版を適用する
安全確認後に再開する

ところまで考える必要があります。

発注元から「PHPに脆弱性が出たらしいので確認してください」と言われて初めて調査する。

これでは順番が逆です。

専門家である開発・保守会社側から、

「重大な脆弱性が発表されます。影響確認が完了するまで停止することを推奨します。」

と先に提案する。

それが保守を任されている側の重要な役割だと思います。

発注側にも覚悟が必要

一方で、開発会社から停止を提案されても、

「売上が止まるから嫌だ」

「繁忙期だから後にしたい」

「改修費が高いから今回は見送りたい」

となってしまえば意味がありません。

数時間の売上を守るために、お客様から預かった情報を危険にさらしてよいのか。

発注する企業側にも、売上・納期・コストより安全性を優先しなければならない瞬間があります。

セキュリティは「思いやり」でもある

企業が持っている個人情報は、企業自身のためだけのデータではありません。

お客様から預かっている情報です。

氏名。

住所。

電話番号。

メールアドレス。

購入履歴。

予約情報。

決済に関する情報。

場合によっては本人確認書類。

システム上ではデータベースの1行でも、その1行の向こう側には一人の人間がいます。

「もし、この情報が漏れたら、このお客様はどうなるのか？」

そこまで考えてサービスを作り、守ることが、本当のセキュリティではないでしょうか。

そう考えると、セキュリティとは単なる技術ではありません。

サービスを利用してくれている人に対する、企業の思いやりでもあります。

まとめ

今回のPHP重大脆弱性では、多くの企業がサービスを一時停止しました。

中には、PHP側が脆弱性の詳細や修正版を正式公開する何時間も前に停止を決断した企業もあります。

そして、

停止。

修正。

検証。

安全確認。

再開。

という手順を踏んでいます。

セキュリティとは、絶対に攻撃されないシステムを作ることだけではありません。

危険をいち早く察知し、被害が発生する前に正しい判断ができる体制を作ること。

今回、実際にサービスを止めた企業を見ると、それがよく分かります。

そして、その判断の先にいるのは、サーバーでもプログラムでもありません。

サービスを利用しているお客様です。