すき家のアプリも銀行手続きも止まった

銀行も、すき家も、航空会社も止まった。原因は「PHP」という仕組みの欠陥だった。

私はエンジニアじゃない。ただのサラリーマンで、米国株をやっている一利用者。でも今回ばかりは、画面の向こうの話では済まなかった。

何が起きたか（事実だけ先に）

10月21日、PHPの開発チームが「重大な脆弱性が2件見つかった」と発表し、修正プログラムを公開した。PHPは世界のウェブサイトの約7割で使われている仕組みで、企業のホームページや各種サービス、WordPressみたいなブログ基盤の裏側で動いている。

欠陥の内容は、平たく言えば「鍵を持っていない人間が、外から合図を送るだけでサーバーの中に入れてしまう」レベルだったと報じられている。見つけたのはセキュリティ企業で、生成AIの支援を受けて発見した、とOpenAIが明らかにした。10年以上前から潜んでいた欠陥を、AIが掘り当てたそうだ。

マンションで言えば、オートロックの暗証番号が「0000」のまま10年放置されていたようなもの。住人は誰も気づかない。鍵屋（AI）がたまたま先に見つけてくれたから、まだ笑い話で済んでいる。

公表直後から、この弱点を突こうとする攻撃が世界中で観測された。各社は「やられる前に止める」判断を次々に下す。

• 三菱UFJ銀行：オンラインの口座開設などを臨時メンテナンスとして停止
• 大和証券：21日夜から、口座開設や住所変更などのWeb手続きを停止
• 日本航空：ホームページの一部が閲覧不可に（予約や運航には影響なし）
• ゼンショー：すき家などのアプリ利用を停止
• スカイマーク：航空券のキャンセル・変更フォームを停止
• 気象庁や財務省でも一部のコンテンツが停止

高市首相は自身のXで「大至急のお願いです」と修正の適用を呼びかけ、自分のホームページも一時停止した。米国のNSAは国内の全組織に対応を要請し、欧州のサイバー部門は「対応できないならネットから切断も検討を」と警告している。PHPの開発団体は、兆候を把握しながら対応が遅れたことを「構造的な失敗」と認めた。

サラリーマンの生活は、だいたいPHPの上にある

ニュースを見て最初に思ったのは、「自分の使うものは大丈夫か」だった。

冷静に並べてみる。銀行の手続き、証券会社の手続き、飛行機の予約変更、牛丼チェーンのアプリ。私の平日は、だいたいこの手のサービスの上で回っている。その土台の名前を、私は今回初めて意識した。PHP。普段は存在すら知らない仕組みが止まると、生活のあちこちが同時に止まる。当たり前だと思っていたものが、実は一つの共通部品にぶら下がっていたわけだ。

資産運用をしている身としては、証券会社の「手続き停止」の文字は胃にくる。今回は口座開設や住所変更の停止で、売買そのものへの影響は報じられていない。でも、もしこれが取引時間中のログイン障害だったら。背筋が伸びる。自分の資産の安否確認すら、他人のサーバーのご機嫌次第。この依存の深さは、投資のリスクとは別枠で数えておくべきものだと感じた。

利用者としての本音

ここからは少し愚痴になる。

サービスを予防的に止める判断自体は正しいと思う。泥棒に入られる前にシャッターを閉めるのは当然だ。ただ、止めるたびに困るのは、いつも末端の利用者と、現場で電話を受ける人たち。今回も、止まった先には「チャットや電話で対応しています」という一文が添えられていた。その電話の向こうで謝り続けているのも、どこかの社畜だ。

止めた会社の中の人を思うと、同じ社畜として笑えない。公表されたその日から、エンジニアと情シス部門はたぶん徹夜の連続。平時は「コスト」と呼ばれて予算会議で真っ先に削られるセキュリティ対策が、事故のときだけ「なぜやっていなかった」と責められる。平時の備えに金も人も出さず、いざとなれば現場の根性で何とかしろ、という構図は、業種を問わず見覚えがありすぎる。私の会社も例外じゃないだろう。

AIが10年越しの欠陥を見つけた、という部分も複雑な気持ちで読んだ。「AIに仕事を奪われる」という議論はよく聞く。今回はAIが守る側で大活躍した。一方で、同じ道具を攻撃側が先に使っていたら、シャッターを閉める間もなくやられていたかもしれない。道具の問題というより、見つけた側がどっちだったかという運の要素が、思ったより大きくなっている気がする。

結局、自分の生活は誰かの徹夜でできている

今回の騒動で一番残ったのは、「社会は、見えない誰かの徹夜で回っている」という当たり前の実感だった。私が牛丼をアプリで注文できるのも、給料日に銀行アプリが開くのも、裏側で誰かが欠陥を塞ぎ続けているからだ。

利用者としてできることは、正直あまり多くない。パスワードを使い回さない。公式の案内を確認する。怪しいメールを開けない。その程度。でも「止まったら文句を言う前に、塞いでいる側にも社畜がいる」と思えるかどうかで、ニュースの見え方はだいぶ変わる。月曜の朝、自分の会社のシステムが無事に開くことを祈っている。

書いた内容は10月21〜24日の報道ベースの感想。脆弱性の技術的な詳細は、各報道と公式発表を確認してほしい。

主な出典：日テレNEWS（Infoseekニュース）、サンスポ（共同通信系の報道）、朝日新聞のニュース要点（いずれも2026年10月24日に確認）

#サラリーマン #インターネット #日常の話