二段階認証が突破された？パスワード変更したのに乗っ取られる原因とPHP脆弱性

パスワードを変更して二段階認証も設定したのに突破されたときは、パスワード以外の入り口が残っていないかを確かめることが先です。

よくある入り口は、ほかの端末に残ったログイン状態、連携したままのアプリ、端末の不審なソフト、認証コードの受け渡し、電話番号の乗っ取りの5つ。

2026年10月に話題のPHPの脆弱性はサーバー側の問題で、利用者のパスワード変更では直りません。

この記事では、状況別の判断表、突破される原因、X・Google・Appleで他の端末をログアウトする手順をまとめます。

※2026年10月23日時点の情報です。

最新の情報は各サービスの公式サイトでご確認ください。

二段階認証が突破された？パスワード変更後に取る行動を状況別に

すべての端末からのログアウト、連携アプリの取り消し、端末の確認まで済ませれば、残っていたログイン状態から操作され続ける状態は止められると考えられます。

Xのヘルプも、パスワード変更・メールアドレスの確認・連携アプリの取り消しを行えば、意図しない操作は起きなくなるはずだと案内しています。

突破されたと感じる場面ごとに、取る行動は違うものです。

下の表で、自分に近い状況を探してください。

メールやSMSのリンク先でパスワードや認証コードを入力した覚えがあるなら、警察庁の案内どおり、同じパスワードを使う全サービスで変更してください。

表の見込みは、各社のヘルプの案内をもとにしたものです。

ただし、どのケースでも必ず止まると保証されたわけではありません。

対応した後も、各サービスのログイン中の端末の一覧と、セキュリティの通知をしばらく見続けてください。

PHPの脆弱性はパスワード変更では直らない｜X・Google・Appleとの関係

PHPの脆弱性を直すのはサイトを運営する側で、利用者がパスワードを変えても直りません。

X・Google・Appleで起きた不審なログインを、すぐにPHPと結びつけるのは早いと言えます。

ここでは、PHPの脆弱性の中身と、X・Google・Appleとの関係を整理します。

PHPの脆弱性はサーバー側の問題

PHPは、Webサイトの裏側にあるサーバーで動くプログラムの言語です。

PHP公式のマニュアルによると、PHPのコードはサーバーで実行され、ブラウザには結果のHTMLだけが届きます。

2026年10月21日（協定世界時）、PHPの開発元は深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。

深刻度はどちらもCVSS v4.0で9.2で、認証なしでサーバー上のプログラムを動かされるおそれがあるとのこと。

修正版はPHP 8.5.12・8.4.27・8.3.36・8.2.35で、開発元は更新が唯一の完全な解決策だとしています。

IPAの注意喚起も、PHPを使うプログラムや製品を洗い出し、修正版を速やかに当てるよう組織に求める内容です。

INTERNET Watchは、一般のユーザーが直接できる対策はないと伝えています。

日本時間10月21日21時55分には高市総理がXで対応を呼びかけ、ITmedia NEWSによるとBASE、ニコニコ、pixivなどが一時停止しました。

停止したことが、情報漏えいを意味するわけではありません。

X・Google・Appleへの影響の発表は見当たらない

10月23日時点で、X・Google・Appleが今回のPHPの脆弱性の影響を受けた、または利用者の情報が漏れたという発表は見当たりません。

iPhone Maniaは、今回の脆弱性はiOSやmacOSそのものの脆弱性ではないと伝えています。

同じ記事によると、10月22日18時20分時点で、Appleのシステム状況のページは全サービス正常でした。

総務省の国民のためのサイバーセキュリティサイトは、流出の事実がなければ定期的なパスワード変更は必要ないとしています。

一方で、同じパスワードを複数のサービスで使っていると、流出した情報で別のサービスにもログインを試されるのが問題です。

使い回しているなら、サービスごとに別のパスワードにする意味はあります。

また、個人データの漏えいで本人の権利利益を害するおそれがあるときは、運営会社に個人情報保護委員会への報告と本人への通知が義務付けられています。

利用しているサービスのお知らせは、公式サイトや公式アプリで確かめてください。

パスワード変更と二段階認証をしたのに突破される原因

二段階認証は「ログインするとき」の守りなので、ログインが終わった後の状態や、自分で渡したコードは防げません。

原因は大きく、ログイン状態や連携アプリが残っている場合と、コードや電話番号が第三者に渡っている場合の2つです。

ログイン状態（セッション）や連携アプリが残っている

サイトは、一度ログインした端末に「ログイン済み」という印（Cookie）を保存し、次からはパスワードを聞かずに使えるようにしています。

@IT（ITmedia）の記事は、この印がマルウェアに抜き取られると、攻撃者はパスワードや多要素認証を経ずにアカウントを使えると説明しています。

この手口の名前は、セッションハイジャックです。

同じ記事は、パスワードを変えても既存のログイン状態が無効になるとは限らず、すべての端末からログアウトする必要があるとしています。

@ITのコラムでは、インフォスティーラーと呼ばれるマルウェアが、ID・パスワードだけでなくログイン状態を保つCookieも抜き取ると説明されています。

認証が破られるのではなく、認証が終わった後のログイン状態が使われるため、二段階認証では防げません。

連携したアプリにも、パスワードとは別にアカウントを操作する許可があります。

Xのヘルプには、パスワードを変えてもiOS・Androidアプリとの連携は自動では解除されないとの記載がありました。

Googleのヘルプも、アクセスできるアプリの見直しや、Gmailの心当たりのない転送ルール、Chromeの心当たりのない拡張機能の削除を案内しています。

認証コードやSMSが第三者に渡っている

IPAは、Instagramの事例として、知人になりすましたDMで電話番号を聞き出し、届いたSMSの認証コードを伝えさせる手口を紹介しています。

コードを伝えると、パスワード・電話番号・メールアドレスを変えられ、多要素認証まで相手に設定されてしまうという流れです。

警察庁も、企業などを装ったメールやSMSで本物ではないサイトに誘導し、ID・パスワードやワンタイムパスワードを入力させる手口に注意を呼びかけています。

楽天証券の注意喚起によると、入手した個人情報で携帯電話会社にSIMを再発行させるSIMスワップでは、SMSや電話番号を使う追加認証が突破されるおそれがあります。

スマホが突然圏外になる、身に覚えのないSIM再発行の通知が届く、メールにログインできなくなる、といった変化が目安です。

パスワードのリセットは登録したメールアドレスや電話番号で行うため、そこを押さえられると、パスワードを変えても戻されることがあります。

乗っ取りを止める手順：X・Google・Appleで他の端末をログアウトする

パスワードを変えた後に、ログイン中の端末と連携アプリを確かめて、心当たりのないものをすべて外すことが要です。

各社のヘルプの手順を、サービスごとにまとめました。

どのサービスでも、端末の一覧はブラウザでログインしたほうが確かめやすくなります。

Xの場合

Xのヘルプの手順は次のとおりです。

1. 設定の［パスワード］タブからパスワードを変える（ログアウトしている場合は［パスワードを忘れた場合はこちら］からリセット）
2. 登録しているメールアドレスに、自分以外がアクセスできないことを確かめる
3. 設定の［アプリ連携］で、見覚えのないアプリのアクセス許可を取り消す
4. ブラウザでXにログインし、［アプリとセッション］でiOS・Androidアプリなどのアクセス許可を取り消す
5. パスワードを変えた後も不審な現象が続くときは、パソコンでウイルス・マルウェア対策のスキャンをする

ログインできないときは、登録していたメールアドレス、ユーザー名、最後にアクセスした日付を添えてサポートに問い合わせます。

二段階認証は［設定とプライバシー］→［アカウント］→［セキュリティ］→［2要素認証］で、ショートメール・認証アプリ・セキュリティキーから選べる仕組みです。

GoogleとAppleの場合

Googleでは、「セキュリティとログイン」の「お使いのデバイス」で「すべてのデバイスを管理」を開くと、ログイン中や最近ログインした端末が見られます。

心当たりのない端末は選んで「ログアウト」し、同じ端末名で複数ある場合はすべてログアウトするのがヘルプの勧めです。

あわせて、再設定用の電話番号・メールアドレスと、アクセスできるアプリも見直してください。

ログインできない場合は、アカウント復元ページで質問に答えます。

Appleでは、パスワードを変えた後、account.apple.comで個人情報とセキュリティ情報を確かめ、「デバイス」で覚えのない端末を削除します。

メールプロバイダと通信事業者にも連絡し、電話番号にSMS転送が設定されていないかを確かめるよう案内されています。

サインインできない場合の窓口は、iforgot.apple.comのアカウントの復旧です。

二段階認証を突破されにくくする設定と相談先

選べるなら、SMSのコードより、パスキーやセキュリティキーを使う方法に切り替えると突破されにくくなります。

IPAの説明では、パスキーはパスワードに代わる認証方法で、パスワード漏えいのリスクがないとのこと。

AppleはApple Accountのセキュリティキーを、Xはセキュリティキーを2要素認証の方法として用意しているので、対応する端末があれば使えます。

iPhoneでは「盗難デバイスの保護」をオンにすることも、Appleの勧める対策の一つです。

ブラウザ・OS・拡張機能を最新に保ち、不要な拡張機能を消しておくことも、ログイン状態の抜き取り対策として@ITの記事で挙げられています。

身に覚えのない確認コードについて、Googleのヘルプは無視して削除してよく、コードは他人と共有しないよう案内しています。

困ったときは、IPAの情報セキュリティ安心相談窓口（電話 03-5978-7509、10:00〜17:00、土日祝日・年末年始を除く）が相談先です。

メールやチャットボットでも受け付けています。

本物ではないサイトに情報を入力した場合は、フィッシング110番への通報や、最寄りの警察署・サイバー事案のオンライン受付窓口への相談もできます。

お金の被害があるときは、金融機関やカード会社にも連絡してください。

まとめ：パスワード変更と二段階認証の後に確かめること

パスワードを変えて二段階認証も設定したのに突破されたときは、ログイン状態・連携アプリ・端末・電話番号とメールアドレスの順に確かめてください。

PHPの脆弱性はサーバー側の問題で、利用者のパスワード変更では直りません。

• すべての端末からログアウトし、連携アプリを取り消す
• 端末をウイルス対策ソフトで調べ、不要な拡張機能を消す
• 認証コードは誰にも教えず、使い回しのパスワードを変える
• 選べるならパスキーやセキュリティキーに切り替える

対応した後も、しばらくはログイン中の端末の一覧と通知を見ておきましょう。