Read this article in English →
サーバーの脆弱性で、ゲームが丸ごと消える。そんな事態が2026年10月21日から22日にかけて、実際に2本のタイトルで起きた。
PHP開発チームが現地時間10月21日に公開した修正版は、CVE-2026-109618とCVE-2026-109619の2件に対応するものだ。CVSS v4.0のスコアは9.2。通称PHP2Shellと呼ばれ、認証なしで外部から任意のコードを実行できる恐れがあるという、Webサーバーにとって最悪の種類の穴だ。
この穴をふさげなかった2本のブラウザゲームが、相次いでサービス終了を発表した。10月21日にワールドクエスト、10月22日に僕の魔界を救って！。どちらも2011年から続いていた長寿タイトルだ。一方で、緊急メンテナンスで乗り切ったタイトルもある。何が起きて、何が分かれ目だったのかを整理する。
PHP2Shellとはどんな脆弱性なのか？
認証なしで外部から任意のコードを実行できる可能性がある、PHP本体の重大な脆弱性だ。該当するのはCVE-2026-109618とCVE-2026-109619の2件で、CVSS v4.0の深刻度は9.2と評価されている。
任意コード実行というのは、サーバーの持ち主でない第三者が、サーバー上で好きなプログラムを動かせる状態を指す。乗っ取りも、データベースの中身の持ち出しも、原理的には可能になる。PHPはWebサイトの土台として広く使われているので、影響範囲は特定のゲームやサービスに限られない。
修正済みバージョンは以下のとおりだ。
| 系列 | 修正済みバージョン |
|---|---|
| PHP 8.2系 | 8.2.35 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.5系 | 8.5.12 |
問題は、サポートが切れた古いPHPも影響を受けるのに、そちらには修正版が提供されないという点だ。古い環境で動いているサービスは、新しい環境へ移行しない限り穴が開いたままになる。ここが今回の2本のサービス終了に直結している。
国内では情報処理推進機構（IPA）と国家サイバー統括室が注意喚起を出した。さらに10月21日には高市早苗首相が自身のXで異例の呼びかけを行い、修正の適用が難しい場合はWebサイトを一時停止することも有効な対策だと説明している。首相が個別の脆弱性について直接発信するのは、記憶にある限りほとんど例がない。
サービス終了を決めた2作は何だったのか？
終了したのはワールドクエストと僕の魔界を救って！の2本で、どちらも2011年から続いていたブラウザゲームだ。
ワールドクエスト｜10月21日限りで終了
2011年にGREEでサービスを開始し、モバゲーなど複数プラットフォームでも展開された本格旅行ゲームだ。現実世界の100以上の国、1,000を超える都市を舞台に、さまざまな交通手段で世界を旅する。2019年5月に一度サービスを終了したが、コロナ禍で旅行に行けなくなった状況を受けて2020年5月に復活したという経緯を持つ。
公式Xでの発表は10月21日。しかもその日限りでの終了だった。理由はサーバーで使用しているPHPの重大な脆弱性で、古い仕組みの上で動作しているため十分な対策が取れず、利用者情報の保護を優先して終了を決断したと説明している。事前の終了告知期間はなく、運営は突然の発表を謝罪した。
僕の魔界を救って！｜10月22日に終了発表
JAGSが手がけた放置型クラウド式ファンタジーシミュレーションRPGで、2011年の登場。人間に奪われた魔界を取り戻すため、プレイヤーが魔王となって魔物を率い、遠征させるという内容だ。
こちらも10月22日に公式Xでサービス終了を発表した。深刻なPHP脆弱性への対応が困難であることが理由で、10年以上プレイしてきたユーザーへの感謝が述べられている。具体的なサーバー構成や技術的な問題点は明らかにされていない。
2本に共通するのは、2011年という稼働開始年だ。15年近く動き続けたサービスは、土台のPHPを入れ替えるコストが現実的でなくなる。遊べる状態を守るより、ユーザーの情報を守る方を選んだ判断そのものは、筋が通っていると見ている。
緊急メンテで復旧したタイトルはどれか？
Cygamesが運営する4タイトルは、10月21日夜から相次いで緊急メンテナンスに入り、いずれも10月22日中に復旧した。
| タイトル | メンテナンス終了 |
|---|---|
| Shadowverse: Worlds Beyond | 10月22日未明 |
| プリンセスコネクト！Re | 10月22日 午前2時10分 |
| ウマ娘 プリティーダービー | 10月22日 午前2時30分 |
| グランブルーファンタジー | 10月22日 午前7時 |
グランブルーファンタジーについては、メンテナンス終了の告知時点でDMM版・GREE版が対象外とされていた。4タイトルいずれも、告知の時点で脆弱性を悪用した被害やユーザーデータの流出は確認されていないと案内されている。
ここは強調しておきたい。緊急メンテナンスは必ずしも攻撃を受けたことを意味しない。未然防止のための措置も含まれる。通販サイトや各種Webサービス、行政機関のサイトでも緊急メンテが相次いだが、それらすべてが侵入されたわけではない。むしろ数時間で落として直したサービスは、対応できる体制があったという証拠だ。
今回の一件から何を読み取るべきか？
ブラウザゲームの寿命は、ゲーム内容ではなく土台の保守可能性で決まる局面がある。それが今回はっきり見えた。
要点を再掲すると、PHPの脆弱性はCVE-2026-109618とCVE-2026-109619の2件、CVSS v4.0で9.2、通称PHP2Shell。修正済みバージョンは8.2.35・8.3.36・8.4.27・8.5.12。サポート切れのPHPには修正版が提供されない。この結果、ワールドクエストが10月21日限りで、僕の魔界を救って！が10月22日に終了を発表した。Cygamesの4タイトルは緊急メンテで10月22日中に復旧している。
2011年に始まったブラウザゲームを15年遊べたこと自体が、本来なかなかない話だ。それでも最後が「告知当日で終了」なのはやはり苦い。遊んでいたタイトルがある人は、スクリーンショットだけでも手元に残しておいたほうがいい。
今回の分かれ目は、ゲームの人気でも売上でもなく「PHPを上げられる構造になっていたか」の一点だった。数時間で落として直せたタイトルと、修正版が提供されない古い土台の上で動いていたタイトル。その差が、サービス継続と即日終了という結果になって出た。
長く遊べるブラウザゲームほど、土台は古い。サービス終了の告知がある日突然来る可能性は、どのタイトルにもある。
あわせて読みたい
小田のっこ
オタク系イベントカレンダー！
SPOTGEEKSオリジナルアプリ
コメントを残す