ウマ娘やグラブル、ニコニコが一斉に緊急メンテへ。PHPの深刻度9.2の脆弱性2件で、修正版は21日23時に公開済み

ウマ娘 プリティーダービー、グランブルーファンタジー、Shadowverse: Worlds Beyondが2026年10月21日23時から緊急メンテナンスに入った。理由はサーバーで使われているプログラミング言語PHPに、深刻度CVSS v4.0で9.2の脆弱性が2件見つかったことだ。PHPの開発チームは10月20日に予告し、日本時間10月21日23時に修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。

止まったのはCygamesのゲームだけではない。ニコニコは19時20分、バンダイチャンネルは20時、ヘブンバーンズレッドは22時30分、ポケモンスリープは23時からメンテナンスに入り、pixiv、BOOTH、ブシロード、メロンブックス、BOOK WALKER、BASEといった公式サイトやECも同じ日に一斉に止まった。国内の対応組織は54以上にのぼると集計されている。

この記事では、何が起きたのか、どのサービスがいつからいつまで止まるのか、遊ぶ側・買う側が今日やることは何か、そしてサイトを運営している人が確認すべきことを整理する。本稿は2026年10月21日23時時点の情報で、メンテナンスの終了時刻は各サービスの告知に従って変わる。

まずは何が起きたかから。

ウマ娘のロサンゼルス公演は中止。米国ビザが取れず、チケットと配信とJTBツアーは払い戻し、現地組への対応は検討中

2026年10月21日

PHPの脆弱性で何が起きた？

PHPの開発チームは10月20日、深刻度CVSS v4.0で9.2の脆弱性2件を修正するセキュリティリリースを、日本時間10月21日23時に公開すると予告した。影響範囲は予告時点で「すべてのPHP」とされ、各サービスは中身が分からないまま、修正版が出る時刻に合わせてメンテナンスを組んだ。修正版は予告どおり23時に公開されている。

CVSSは10点満点で、9.0以上は「緊急」の区分だ。攻撃が容易で自動化でき、被害が大きい脆弱性がここに入る。今回は2件とも外部からサーバー上でプログラムを実行できる種類で、PHPはWordPressをはじめ世界中のサイトの土台なので、影響範囲の広さが各社を一斉に動かした。予告の段階で技術的な詳細が伏せられたのは、修正版が出る前に攻撃方法が広まるのを避けるためで、通常のセキュリティリリースの手順どおりだ。10月21日時点で、国内のサービスで被害やデータ流出は確認されていない。

Cygamesのウマ娘・グラブル・シャドバWBはいつまで止まる？

ウマ娘 プリティーダービー、グランブルーファンタジー、Shadowverse: Worlds Beyondは10月21日23時に緊急メンテナンスに入った。グランブルーファンタジーは10月22日7時までの暫定予定で、ウマ娘とShadowverse: Worlds Beyondは終了時刻未定だ。

Cygamesの告知は、サーバーで使用しているPHPに重大な脆弱性が2件報告され、10月21日23時に修正プログラムが公開される予定のため、システムの安全性を確保する目的で実施する、という内容だ。修正版が出てから適用して検証する手順なので、23時開始は「修正版の公開と同時に作業を始める」という意味になる。ウマ娘はロサンゼルス公演の中止を発表した翌日にこのメンテナンスで、トレーナーにとっては二日続けて落ち着かない夜だ。デイリーの消化やイベントの期限は、メンテナンス明けの告知で補填が出るかを確認してほしい。

Cygames新ブランド「CygamesEdge」設立｜第1弾『崩落の国』は11月5日発売・3時間で終わる落下アクション

2026年9月4日

PHPの脆弱性で止まっているサービスの一覧

ゲームのほか、動画・イラスト・EC・配信ツールの公式サイトまで、10月21日の午後から夜にかけて国内の主要サービスが相次いでメンテナンスに入った。以下は各媒体の報道と各社の告知で確認できた分で、終了時刻は変更されうる。

並べてみると、ゲームは23時、動画やECは夕方から前倒しで止めているのが分かる。ゲームは課金や対戦の同期があるので修正版と同時に止めて一気に当てる判断、ECは決済まわりを先に止めて被害の芽を摘む判断だろう。OBSはソフト本体ではなく公式サイトの一部が見られなくなっているだけで、配信そのものには影響がない。

遊ぶ側・買う側が今日やることは？

利用者側にできることは、メンテナンス明けを待つことと、各サービスの公式告知で補填やキャンペーン期限の扱いを確認することの2つだ。今回の脆弱性はサーバー側の問題で、スマホやPCのアプリを更新しても意味はないし、パスワードを変える必要も現時点ではない。

• ゲームのログインボーナスやイベント期限は、メンテナンス明けの告知で補填の有無を確認する
• ECで注文中・決済中だった場合は、メンテナンス明けに注文履歴を見て状態を確かめる
• 「PHPの脆弱性対応」を騙るメールやDMが来ても、リンクを踏まず公式サイトで確認する
• 被害やデータ流出は10月21日時点で確認されておらず、慌てて動く理由はない

こういう日に一番危ないのは、脆弱性そのものより「緊急対応のためパスワードを再設定してください」という偽メールだ。一斉メンテナンスで誰もが公式告知を探している夜は、フィッシングにとって都合のいい時間になる。公式サイトのURLを自分で打って確認する、それだけでいい。

サイトを運営している人が確認することは？

自分のサイトやブログがPHPで動いているなら、修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかへ更新する。レンタルサーバーなら、事業者がPHPのバージョンを管理しているので、事業者の告知を確認してコントロールパネルからバージョンを切り替える。IPAは10月21日に「事前準備のお願い」を出し、PHPを使っている環境の棚卸しを呼びかけている。

1. サイトがPHPで動いているかを確認する（WordPressを含むCMSはほぼ該当する）
2. レンタルサーバーの場合は、事業者の告知とコントロールパネルのPHPバージョン設定を確認する
3. 自分でサーバーを管理している場合は、修正版への更新を最優先で行う
4. PHP 8.1以前の、すでにサポートが終わったバージョンは修正版が出ない。8.2以降への移行が必要になる

修正版は8.2から8.5までの4系統にしか出ていない。それより古いPHPで動いているサイトは、今回を機に上げるしかない。回避策は「確認されていない」というのがセキュリティ各社の共通した見解なので、更新を遅らせる理由はない。このサイトもWordPressで動いているので、今夜はわたしも他人事ではない。

ゲオオンラインと宅配買取が不正アクセスで停止中。15日に確認、17日21時からアプリとWEBを全停止して再開は未定

2026年10月18日

まとめ。PHP脆弱性と一斉メンテナンスの要点

PHPに深刻度CVSS v4.0 9.2の脆弱性2件（CVE-2026-109618、CVE-2026-109619）が見つかり、修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35が日本時間2026年10月21日23時に公開された。ウマ娘 プリティーダービー、グランブルーファンタジー、Shadowverse: Worlds Beyondは21日23時から緊急メンテナンスで、グラブルは22日7時まで暫定、ほかは終了未定。ニコニコ、バンダイチャンネル、ヘブンバーンズレッド、ポケモンスリープ、pixiv、BOOTH、ブシロード、BASEなども同日にメンテナンスに入った。被害やデータ流出は10月21日時点で確認されていない。利用者は公式告知で補填を確認し、偽メールに注意する。サイト運営者は修正版への更新を最優先にする。

ウマ娘のロサンゼルス公演は中止。米国ビザが取れず、チケットと配信とJTBツアーは払い戻し、現地組への対応は検討中

2026年10月21日

ゲオオンラインと宅配買取が不正アクセスで停止中。15日に確認、17日21時からアプリとWEBを全停止して再開は未定

2026年10月18日

オンラインゲームおすすめランキングTOP20！無料・PC・スマホの人気タイトルの魅力を特集

2026年5月16日

オタク系イベントカレンダー！

SPOTGEEKSオリジナルアプリ