サイトが「メンテナンス中」なのはなぜ？PHPの脆弱性と緊急対応の仕組み

WindowsMaciPhoneAndroid更新 2026-10-31

IPAは2026年10月22日の注意喚起で、PHPの脆弱性への有効な暫定対策が難しい場合は、外部からのアクセス遮断やサービスの一時停止が必要か判断するよう組織に求めています。更新できるまでサイトを止めるのは、メンテナンス画面が出る理由のひとつです。この記事は2026年10月23日時点の情報です。

要点

2026年10月21日にPHPの深刻な脆弱性2件が公表され、日本、米国、英国の機関がPHPの更新を求め、すぐに更新できない場合はアクセスの遮断や停止も検討するよう呼びかけました。メンテナンス画面は、その作業中だという意味の場合があります。利用者は待ち、公式の案内を確かめ、よく似た偽のページに情報を入れないようにしてください。

なぜ脆弱性の公表のあとにメンテナンスに入るのですか

修正するにはサーバーのソフトウェアを変える必要があり、すぐに直せないサーバーは止めておくほうが安全な場合があるからです。PHPは多くのウェブサイトで使われているプログラミング言語で、PHPプロジェクトは10月21日に修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を出しました。そのアドバイザリは、完全な解決策は更新だけだとしています。脆弱性そのものはPHP2Shellの解説で、サーバーの問題が多くのサイトに関わる理由はPHPとはで説明しています。

更新はいつも短時間で済むわけではありません。IPAは、PHPなどを長期間更新していないシステムでは、更新に伴うアプリケーションの改修や動作確認が必要になるほか、開発時の資料やノウハウの不足、担当者の不在、保守契約の終了などで対策が難しくなっている場合があると書いています。その作業の間、外から見えるのがメンテナンス画面です。

公的機関はどう呼びかけましたか

どの機関も、まず更新を求めています。違いが出るのは、すぐに更新できない場合の対応です。

IPA（日本）。 10月22日の注意喚起で、更新や移行が完了するまで脆弱な状態での運用を放置せず、暫定対策やアクセス制限を検討するよう求めています。有効な暫定対策が難しい場合は、攻撃を受けた際の被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断するよう書いています。
JPCERT/CC（日本）。 10月22日の注意喚起で、PHPが国内で広く利用されていることを確認しているとし、十分なテストをしたうえで速やかに修正版を適用し、侵害の有無を調査するよう呼びかけています。
CISA（米国）。 すぐに更新できない組織や、PHP 8.1以前を使っている組織は、パッチの適用か更新ができるまでPHPを使うシステムをオフラインにすべきだとしています。
NCSC（英国）。 インターネットに面したシステムから更新するよう求め、更新できない場合はPHPの開発元が出した一時的な緩和策を使い、それもできない場合はシステムをオフラインにすることを検討するよう書いています。

よく使うサイトがメンテナンス中のときは

基本的には待つしかありません。修正はサイトを運営する側の仕事で、自分のスマホやパソコンに何かを入れても、サイトのサーバーは直りません。

サイトの公式の案内を確かめます。公式のSNSアカウント、すでに使っている公式アプリ、登録しているメールなどです。IPAは組織に対し、更新や移行、廃止の際には利用者への影響を考え、代替手段の案内などを計画するよう求めているので、そうした場所にお知らせが出ることがあります。
問い合わせるときは、もともと知っている連絡先を使います。フィッシング対策協議会は、不安な場合は公式の窓口やサポートセンターに問い合わせるよう勧めています。
サイトに戻るときは、届いたリンクからではなく、いつものブックマークや公式アプリから開きます。IPAも、突然送られてくるURLリンクは基本的にクリックせず、ブックマークや公式アプリを使うよう勧めています。

止まっている間に、偽のページに気をつける必要はありますか

あります。IPAは、偽のメールやSMSは確定申告などの実社会の動きに合わせて送られてくると説明しています。「サイトが移転しました」「メンテナンス中はこちらからログインしてください」といったメッセージには注意してください。

思いがけないメール、SMS、広告から開いたページに、パスワード、カード番号、個人情報を入れないでください。もし入れてしまったら、公式アプリか公式サイトからパスワードを変え、カードの情報ならカード会社に連絡します。偽のウェブサイトを見つけたら、そのアドレスをフィッシング対策協議会（info@antiphishing.jp）に送って報告できます。

メンテナンス中ということは、ハッキングされたのですか

そうとは限りません。メンテナンス画面からわかるのは、サイトが使えないことだけで、理由まではわかりません。上の機関は、更新できない場合にシステムを止めるよう組織に求めているので、単に対応中という意味の場合もあります。

利用者の個人情報に影響があったと会社が判断した場合は、別の手続きになります。どう知らされるか、それまでに何をしておくとよいかは個人情報の漏洩を確認する方法で説明しています。

再開までに時間がかかるのはなぜですか

すぐ更新できるサイトもあれば、そうでないサイトもあります。IPAの注意喚起は難しいケースを挙げています。古いシステムでPHPを更新するとアプリケーションの改修と動作確認が必要になる場合や、維持管理に必要な人員、予算、保守体制を確保しなければならない場合です。体制を確保する見通しが立たない組織には、保守を受けられる製品やサービスへの移行、提供機能の縮小、公開の終了やシステムの廃止も含めて検討するよう求めています。そのため、再開したときに内容が変わっているサイトや、戻ってこないサイトもありえます。

よくある質問

メンテナンス明けのサイトを見ても大丈夫ですか

PHPの脆弱性はサーバーのソフトウェアにあり、あなたの端末にあるものではありません。改ざんされたサイトが閲覧者に何をしうるか、何に注意すればよいかは改ざんされたサイトを見ただけで感染するかで説明しています。

PHPの脆弱性はもう悪用されていますか

2026年10月23日時点で、米国のCISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。2026年10月23日時点で、この記事で取り上げた4機関の注意喚起に、影響を受けたウェブサイトの数を示したものはありません。

「緊急メンテナンス」とは何ですか

PHPプロジェクトのアドバイザリにこの言葉はなく、サイトの運営者が使っている表現です。IPA、CISA、NCSCがPHPについて示している作業は、ソフトウェアの更新か、更新できるまでのアクセス遮断や停止です。

なぜ多くのサイトで同時にPHPのメンテナンスが起きるのですか

多くのサイトが同じPHPを使っているからです。IPAは、PHPは様々なウェブアプリケーションやソフトウェア製品で利用されているとし、JPCERT/CCは、PHPを使用する製品やLinuxディストリビューションが提供するPHPも影響を受ける可能性があるとしています。PHPを使っていると書いていないサイトでも、対応が必要な場合があります。

止まったサイトのパスワードは変えるべきですか

サイトが止まったことを理由にパスワードを変えるよう求める一般的な呼びかけはありません。会社からアカウントに問題があったと知らせがあれば、公式の窓口を通じてその指示に従ってください。