PHPの深刻な脆弱性でゲームが緊急メンテ・サービス終了｜ウマ娘・グラブル・FF14などの影響まとめ
この記事には広告（アフィリエイトリンク）が含まれます。
2026年10月21日、Web サービスで広く使われているプログラミング言語「PHP」に、深刻な脆弱性（セキュリティの穴）が2件見つかったと公表されました。これを受けて、日本のゲームで緊急メンテナンスやサービス終了が相次いでいます。
- 『ウマ娘』『グランブルーファンタジー』『Shadowverse: Worlds Beyond』『ヘブンバーンズレッド』などが緊急メンテ（どれも10月22日までに復旧）
- 『ファイナルファンタジーXIV』は全ワールドの新規ログインを一時停止（10月22日夜に再開）
- 『ワールドクエスト』と『僕の魔界を救って！』は、「古い仕組みのため対策できない」としてサービスを終了
この記事では、PHP の公式発表と、各ゲームの運営会社の公式のお知らせをもとに、何が起きたのかをまとめます（2026年10月23日時点）。
何が起きた？ PHP の脆弱性とは
PHP は、ゲームの公式サイトやお知らせページ、ログインや課金の仕組みなど、Web のサーバー側で広く使われているプログラミング言語です。
PHP の開発チームは2026年10月21日、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。php.net によると、ログインしていない人からの通信で、サーバー上で好きなプログラムを動かされる（リモートコード実行）おそれがあるもので、前日の予告では深刻度が「CVSS 9.2」と評価されていました。
| 項目 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-109618（メモリ不足を使うもの）、CVE-2026-109619（古い内部状態が残るもの） |
| 影響 | Web のリクエストを処理しているすべての PHP（PHP-FPM、Apache の mod_php など） |
| 修正版 | PHP 8.5.12、8.4.27、8.3.36、8.2.35 |
| 古い版 | PHP 8.1 以前は、PHP の開発チームからの更新はもう出ない |
IPA（情報処理推進機構）は、2つの脆弱性をあわせて「PHP2shell」と呼んで注意を呼びかけています。8.1 以前で直せない場合は、外からのアクセスを止めることや、サービスの一時停止、システムの廃止まで検討するよう書いています。
JPCERT/CC も10月22日に注意喚起を出し、すぐにパッチを当て、侵害されていないか調べるよう求めています。
首相も X で呼びかけ
高市早苗首相は10月21日21時55分、自身の X で、PHP を使っているかを確かめ、23時に公開されるパッチをすぐ当てられるよう準備してほしいと呼びかけました。すぐに当てられない場合は、サイトの一時停止もリスクを下げる手の一つだとしています。
サービスを終了したゲーム
| ゲーム | 公式発表 | 終了 | 運営の説明（要約） |
|---|---|---|---|
| ワールドクエスト | 2026年10月21日 | 10月21日（即日） | サーバーで使っている PHP に深刻な脆弱性が見つかった。古い仕組みのため十分な対策がとれず、利用者の情報を守ることを第一に考えた |
| 僕の魔界を救って！ | 2026年10月22日 | お知らせの時点で終了 | 10年以上たち、サーバーが PHP も含めてかなり古い。今の環境のままでは安全に対応できず、移行も現実的ではない |
どちらも、払い戻しについての案内は公式のお知らせにはありませんでした（2026年10月23日時点）。
緊急メンテナンスをしたゲーム（運営が PHP の脆弱性を理由と明記）
| ゲーム | メンテの期間 | 状態 | おわび |
|---|---|---|---|
| ウマ娘 プリティーダービー | 10/21 22:00〜10/22 2:30 | 復旧 | ジュエル150個ほか |
| プリンセスコネクト！Re:Dive | 10/21 22:00〜10/22 2:10 | 復旧 | ジュエル150個 |
| Shadowverse: Worlds Beyond | 10/21 22:00〜10/22 0:30 | 復旧 | カードパックチケット1枚 |
| グランブルーファンタジー | 10/21 夜〜10/22 | 復旧 | エリクシールハーフ10本ほか |
| ヘブンバーンズレッド | 10/21 22:30〜10/22 | 復旧 | クォーツ300個 |
| チュウニズム（CHUNITHM-NET・公式サイト） | 10/21 23:00〜 | 公式サイトは10/22 に復旧 | — |
| ドルフィンウェーブ | 10/21 23:00ごろ〜 | 公式の終了の告知は確認できず | — |
※時刻は各ゲームの公式サイト・公式 X の発表から。ウマ娘とシャドバWB は、はじめ23時開始の予定を22時に早めました。
『ウマ娘』『プリコネR』『シャドバWB』の公式は、「現時点で、本脆弱性を悪用した被害や、ユーザーの皆さまのデータの流出は確認されておりません」と書いています。ほかのゲームの公式発表には、被害についての記載はありませんでした。
ファイナルファンタジーXIV
スクウェア・エニックスは、「PHP に関する重大な脆弱性に対応するため」として、10月22日1時38分ごろから全ワールドの新規ログインを一時停止しました。10月22日21時16分に再開しています。コンパニオンアプリやフォーラムなどの周辺サービスもメンテナンスに入り、一部は10月23日時点でも終了の時刻が決まっていません。
PHP とは書かれていないメンテナンス
次のサービスも同じ時期に緊急メンテナンスをしましたが、公式のお知らせには PHP の名前は書かれていません。
- Pokémon Sleep：「システムのセキュリティ対策に伴い」として10/21 23:00 から。10/22 にセキュリティ対応を終え、復旧
- ALL.Net／Aime（チュウニズムなどのアーケード）：10/21 23:00〜10/22 14:00。この間は筐体でのプレイも止まりました
プレイヤーができること
- 公式のお知らせを確かめる：メンテやサービス終了の情報は、各ゲームの公式サイト・公式 X で確認しましょう
- パスワードの使い回しをやめる：今回、公式に被害は報告されていませんが、ほかのサービスと同じパスワードを使っている場合は、これを機に変えておくと安心です
- 偽のお知らせに注意：騒ぎに乗じて、「アカウントを確認して」などと偽のサイトに誘うメッセージが届くことがあります。ログインは公式アプリや公式サイトからにしましょう
よくある質問
Q. ゲームのデータや個人情報は流出しましたか？
『ウマ娘』『プリコネR』『シャドバWB』の公式は、被害やデータの流出は「確認されていない」としています（2026年10月21日時点の発表）。ほかのゲームは、公式に記載がありません。
Q. なぜサービス終了まで決めたゲームがあるのですか？
公式の説明によると、古い仕組みや古い PHP の上で動いていて、今回の脆弱性に十分な対策をとれないためです。PHP 8.1 以前は、PHP の開発チームからの更新がもう出ません。
Q. 自分のゲームはもう遊べますか？
この記事で紹介した大きなゲームは、10月22日までに復旧しています。最新の状況は、各ゲームの公式のお知らせで確かめてください。
まとめ
- 2026年10月21日、PHP に遠隔でプログラムを動かされるおそれのある深刻な脆弱性が2件公表された（修正版は 8.5.12／8.4.27／8.3.36／8.2.35）
- ウマ娘・グラブル・シャドバWB・ヘブバン・FF14 などが緊急メンテ。大手タイトルは10月22日までに復旧
- 『ワールドクエスト』『僕の魔界を救って！』は、古い仕組みで対策できないとしてサービス終了
- 被害の報告は、公式に「確認されていない」とするゲームもある。続報は公式で確認しよう
出典
- PHP Security advisory（2026年10月21日） — php.net
- PHPの脆弱性対策について（PHP2shell） — IPA, 2026年10月22日
- PHPにおける複数の脆弱性に関する注意喚起 — JPCERT/CC, 2026年10月22日
- ワールドクエスト サービス終了のお知らせ — 2026年10月21日
- 僕の魔界を救って！ 公式サイト — 2026年10月22日
- ウマ娘 プリティーダービー お知らせ — Cygames, 2026年10月21日
- Shadowverse: Worlds Beyond お知らせ — Cygames, 2026年10月21日
- ファイナルファンタジーXIV ザ・ロードストーン — スクウェア・エニックス, 2026年10月22日
- Pokémon Sleep お知らせ — 2026年10月22日
- 高市早苗 X（2026年10月21日）
- 報道：4Gamer.net、Game*Spark
