PHPの脆弱性でLINEやTikTokは大丈夫？利用者がやることと注意点

話題のPHPの脆弱性で、LINEやTikTokが危険になったのではと不安に感じている人は少なくありません。

LINEやTikTokのアプリを普段どおり使うだけで、スマホが今回のPHPの問題に巻き込まれるわけではありません。

PHPはスマホの中ではなく、Webサイトやサービスの裏側にあるサーバーで動く仕組みで、直すのは運営会社です。

ただ、運営会社のサーバーが攻撃されると、利用者の情報が流出するおそれはあります。

この記事では、状況別の判断、何が起きたのか、緊急メンテナンスの見方、利用者ができる対策を順に整理します。

※2026年10月23日時点の情報です。

最新の情報は公式サイトでご確認ください。

PHPの脆弱性でLINEやTikTokは大丈夫？利用者の状況別の判断

LINEやTikTokを使うだけの人は、アプリを消したり、特別な操作をしたりする必要はありません。

今回の修正は、サーバーを管理する側の作業だからです。

一方で、パスワードの使い回しや、便乗した偽の警告には利用者側で備えられます。

自分の状況に近い行を見て、次にすることを決めてください。

アプリを削除・更新してもPHPの問題は直らない

今回直す必要があるのは、サーバーの上で動いているPHPです。

INTERNET Watchは、PHPの修正はサーバー管理者やレンタルサーバー事業者が行うもので、一般の利用者が直接できることはほとんどないと伝えています。

おたくま経済新聞も、スマホやパソコンのPHPを一般の利用者が更新する話ではないと説明しています。

LINEやTikTokのアプリを削除しても、入れ直しても、今回のPHPの問題そのものは解決しません。

アプリを消すと、トーク履歴など自分のデータの扱いで困ることもあります。

ニュースだけを理由に慌てて削除するより、アプリとスマホを普段どおり最新に保つほうが、日ごろの備えとして役に立ちます。

LINE・TikTokの運営会社の発表と今後の見方

2026年10月23日時点で、LINEヤフーやTikTokから、今回のPHPの件で影響が出たという発表は見当たりません。

両社のサーバーでPHPが使われているかどうかも、公表された情報はありません。

知恵袋やSNSでは「LINEやTikTokは別の言語で作られているので影響はない」という声もありますが、運営会社が公表した内容ではありません。

逆に、使っているか分からないからといって、すぐ危険だと決めつける根拠もありません。

利用者に関係が出てくるのは、使っているサービスから情報流出などの知らせがあったときです。

そのときは運営会社の案内に従ってパスワードを変えるなどの対応を取ります。

どのサービスも影響がないと保証されたわけではないので、公式のお知らせは時々確かめておきましょう。

話題のPHPの脆弱性とは？起きたことをわかりやすく解説

PHPというWebサイトを動かす言語に、ログインなしで外からサーバーを操られるおそれのある弱点が2つ見つかりました。

修正版は日本時間の10月21日23時に公開されています。

ここでは、PHPがどこで使われているのかと、見つかった脆弱性の中身を、専門用語をできるだけ使わずに説明します。

PHPはWebサイトの裏側（サーバー）で動く仕組み

PHPは、Webサイトやネットサービスを動かすためのプログラミング言語です。

ITmedia NEWSによると、PHPはサーバー側で動くWeb向けの言語で、ブログを作るときによく使われるWordPressもPHPで書かれています。

同じ記事では、W3Techsの調査として、サーバー側の言語が分かっているWebサイトの約7割がPHPを使っていると紹介されています。

共同通信も、欧州系の調査機関の数字として、世界のWebサイトの69.3%で使われていると伝えています。

ただ、ITmedia NEWSは、一般の利用者がPHPに直接触れることはほとんどないとも書いています。

スマホでサイトを見たりアプリを使ったりするとき、その向こう側のサーバーでPHPが動いていることがある、という関係です。

2件の脆弱性と10月21日の修正版公開

PHP公式サイトによると、見つかった2件はどちらもCVSS v4.0という深刻度の物差しで9.2と評価されています。

ITmedia NEWSによると、9.0以上は最も深刻な「Critical（緊急）」の区分です。

識別番号はCVE-2026-109618とCVE-2026-109619で、2つを組み合わせた攻撃は「PHP2shell」と呼ばれています。

IPA（情報処理推進機構）は、悪用されると遠くにいる第三者にサーバーで勝手にプログラムを動かされるおそれがあると説明しています。

gihyo.jpによると、1つ目はメモリが足りなくなったときの処理の不備、2つ目は処理を終えたリクエストの情報が消し切れずに残る不備です。

どちらも、ログインなどの認証をしていない相手から攻撃されるおそれがある点が深刻とされています。

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35の4つで、PHP公式サイトは更新することが唯一の安全な選択肢だとしています。

INTERNET Watchによると、修正版の公開前には高市早苗首相がXで、PHPを使っているサイトの確認と適用の準備を呼びかけました。

IPAは修正版が出る前の10月21日の時点で、この2件を悪用した攻撃は確認していないとしたうえで、予防のための準備を呼びかけていました。

窓の杜も、完全な解決策はアップデートだけだと伝えています。

電ファミニコゲーマーによると、国家サイバー統括室も、すぐ適用するのが難しい場合はサイトの一時停止も有効な手段の1つだと投稿しています。

CNN.co.jpによると、今回の脆弱性はOpenAIやグーグル傘下のウィズなどがAIを使って見つけたものです。

自分でブログやサイトを運営している人は、対応が必要な側になります。

IPAは、PHP 8.1以前はサポートが終わっていて修正が提供されないため、サポート中のバージョンへの移行を検討するよう求めています。

PHPの脆弱性で各サービスが緊急メンテナンス、止まった理由と見分け方

10月21日の夜に多くのサービスが止まったのは、被害が出たからではなく、修正版を当てるための予防が中心です。

ただし、同じ時期の停止がすべてPHPの件とは限りません。

ここでは、止まったサービスの例と、PHPの件と関係のない停止の見分け方を整理します。

メンテナンスは被害ではなく予防のため

GIGAZINEによると、ニコニコ、pixiv、BASE、BOOK☆WALKER、アニメイトのオンラインストア、Pokémon Sleep、ウマ娘 プリティーダービー、グランブルーファンタジーなどがメンテナンスを行いました。

日経クロステックは、さくらインターネットが一部の機能を止めたと伝えています。

おたくま経済新聞によると、Chatworkは10月21日23時から22日0時15分までサービスを止めました。

同じ記事は、こうした停止は悪用のリスクを抑えるための予防的な措置で、止まったからといって被害が起きたとは限らないと説明しています。

メンテナンス中のサービスは、再開の時刻が延びることもあります。

再開や延長の情報は、運営会社の公式サイトや公式アカウントのお知らせで確かめるのが確実です。

サービスを止める判断は、日本だけのものではありません。

CNN.co.jpによると、米国家安全保障局（NSA）も、更新できない場合はインターネットから切り離すよう勧め、欧州では一部の国で政府の公式サイトがつながらなくなったと報じられています。

PHPと関係のない停止もまじっている

INTERNET Watchによると、ソフトバンクは10月17日に「My SoftBank」などのWebサイトを一時停止しました。

これは不正アクセスの試みを受けたもので、PHPの件とは関係がないと書かれています。

マネックス証券も、不正アクセスの試みを受けて10月20日に新規の口座開設を一時停止しました。

共同通信によると、銀行などでも一部のサービスが止まっています。

「止まったのはPHPのせい」と決めつけず、理由は運営会社のお知らせで確かめましょう。

理由が違えば、利用者がすること（パスワードの変更など）も変わるからです。

PHPの脆弱性への対策、LINEやTikTokでできること

利用者ができる対策は、アプリを消すことではなく、アカウントを守ることと、便乗した偽の警告を開かないことです。

総務省の「国民のためのサイバーセキュリティサイト」は、基本の三原則として「ソフトウェアを最新に保つ」「強固なパスワードと多要素認証を使う」「不用意に開かない・インストールしない」を挙げています。

ここでは、今回の件で特に役立つ2つを説明します。

パスワードの使い回しをやめて2段階認証を使う

CNN.co.jpによると、クラウドフレアは、攻撃者がサービスを止めたり顧客情報を流出させたりできると説明しています。

総務省のサイトは、あるサービスから流出した情報が、ほかのサービスへの不正ログインに悪用されるおそれがあるとして、パスワードを使い回さないよう呼びかけています。

長さは最低でも10文字以上で、数字・記号・大文字と小文字を混ぜた並びが理想とされています。

定期的な変更は必須ではなく、破られたときや流出が確認されたときに変えれば十分とされています。

さらに、パスワードにスマホや指紋・顔などの確認を組み合わせる多要素認証（2段階認証）を使うと、安全性が高まります。

LINEやTikTokの2段階認証の場所はアプリのバージョンで変わることがあるので、各アプリの設定画面やヘルプで確かめてください。

便乗した偽の警告や不審なメールを開かない

総務省のサイトは、メールやSMSのリンクから偽サイトに誘導するフィッシングが増えていると注意を呼びかけています。

ニュースで話題の言葉を使ったメールやSMSが届いても、リンクは開かないようにしましょう。

IPAは、サイトを見ている最中に「ウイルスを検出した」などの偽の警告が出て、アプリのインストールや自動で続く課金の登録へ誘導される手口を紹介しています。

料金は週900円や年24,200円などと高く、アプリを消しただけでは解約されません。

警告が出たときは「OK」も「キャンセル」も「閉じる」も押さず、ChromeやSafariのタブ選択アイコンを長押しして「タブを閉じる」を選びます。

登録してしまったら、Google PlayやAppleのサブスクリプションの画面で確かめて解約してください。

不安なときは、IPAの「情報セキュリティ安心相談窓口」（電話03-5978-7509、10時〜17時、土日祝日・年末年始を除く）に相談できます。

まとめ：PHPの脆弱性でLINE・TikTokを消す必要はない

今回のPHPの脆弱性はサーバー側の問題で、LINEやTikTokを使うだけでスマホが危険になる話ではありません。

直すのは運営会社で、アプリを削除しても解決しません。

• LINE・TikTokは普段どおり使い、スマホとアプリを最新にしておく
• パスワードの使い回しをやめ、2段階認証を設定する
• 「PHPのせいで感染」などの偽の警告や不審なメールは開かない
• サービスの停止や不具合は、運営会社の公式のお知らせで確かめる

自分でブログやサイトを運営している人は、サーバー会社のお知らせを確かめ、PHPを修正版に更新しましょう。