PHP脆弱性で金融サービス停止…経営が問われる“再開判断”と6つの備え(2/4)

金融サービスはなぜ一斉に止まったのか

　10月21日夜、高市総理は自身のXで、PHPを使用しているWebサイトの確認と修正パッチを速やかに適用できる準備を求めた上で、Webサイトなどを一時的に停止することも、リスクを低減させるための有効策の1つだと訴えた。

　国家サイバー統括室や警視庁もXで対応を促した。総理自身のホームページも対策のため一時停止されたものの、22日には再開している。総理は22日にも、状況によってはサイトを一時的に停止することも重要だと自身も改めて感じたと投稿している。

　金融分野でも、21日夜から22日にかけて予防的なサービス停止が広がった。報道や各行の発表によると、三菱UFJ銀行が投資信託の口座開設などのインターネットサービスを一時停止したほか、みずほ銀行は臨時メンテナンスにより来店予約サービスなどを、SBI新生銀行も一部のWebサービスを止めた。静岡銀行はネットバンキング関連のアプリなどを一時停止している（22日に再開）。

　地域金融機関でも、福井銀行がアプリの諸届受付サービスなどを、富山第一銀行が住宅ローン仮審査申込やアプリを、千葉興業銀行がiDeCoのオンライン申込を、それぞれ停止した。

　証券では大和証券が、口座開設や住所変更などWebでの一部サービスを止めている。

　重要なのは、これらの停止が「被害を受けた障害」ではなく、被害を未然に防ぐための予防措置だった点である。

　auじぶん銀行は22日朝の時点で、主要サービスは通常どおり利用できるとしたうえで、一部の問い合わせ機能は委託先のメンテナンスにより停止していること、関連する不正アクセスや情報漏えいは確認していないことを公表した。全国銀行協会も、銀行間の決済関連への影響は確認されていないと公表している。

　停止対象となったサービスの多くは、申込・届出系の機能や会員向けサイトといった顧客接点の周辺システムであり、預金や為替の基幹システムが止まったわけではない。

　一方で、自社の対応が済んでも委託先の復旧を待たざるを得ない場面や、データ連携サービスが金融機関側の停止に合わせて取得を止める、といった措置も確認された。このように、本件はこれまでになくサプライチェーン全体での対応が問われた事案でもあり、全国規模で同時並行的に緊急対処が進んだ稀有な事例であると言える。

悪用も確認、更新だけでは終わらない

　その後、攻撃の動きも確認されている。トレンドマイクロは10月22日朝までに、国内の複数のサーバに対して脆弱性を悪用した攻撃を検知したと公表した。米クラウドフレアのCEOは、公表後に悪用の試みが数百万件確認されたとXに投稿している。

　米CISAは10月26日、この2つの脆弱性を悪用が確認された脆弱性のカタログ（KEV）に追加した。IPAは10月27日時点で国内での攻撃被害の事例は把握していないとしているが、JPCERT/CCは同29日、本脆弱性を悪用した攻撃によってファイアウォール製品が侵害された痕跡が報告されたと注意喚起情報を更新した。

　背景にも触れておきたい。米グーグル傘下のウィズによれば、この脆弱性は10年以上前から存在していた。読売新聞によると、PHP財団は2024年には脆弱性の懸念を把握していたが、開発者の人手不足などで修正が先送りされていたという。

　また、修正版が提供されるのは8.2系から8.5系までで、8.1以前はサポートが終了している（ただし、開発元は今回、7.4、8.0、8.1向けに最小限のソースコード修正を提供した）。

　セキュリティ企業の推計では、インターネットから確認できるPHPホストの約7割強が、公式の修正版が提供されないブランチで稼働しているとされる。さらに、修正版が提供される8.2系も2026年12月31日にサポートが終了する。今回の更新が済んだ後も、バージョンの移行計画は別に必要だ。 【次ページ】銀行が“止める判断”を下せた理由