2026年10月21日、Webサイトやシステムで広く使われているプログラミング言語「PHP」の、危険度が高い脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版が公開されました。国内でも、多くのWebサービスが緊急メンテナンスを行う事態になっています。
LINE公式アカウントやLステップの運用では、LINEの外にあるWebサイト、予約ページ、フォームと日常的にやり取りをしています。そのため、LINEの管理画面だけを見て「うちは関係ない」と判断するのは危険です。この記事では、システムに詳しくない担当者の方にも分かるように、LINE運用者が確認すべきこと、注意すべきこと、対応すべきことを順番に解説します。
目次
今回の脆弱性は、PHPそのものにある欠陥です。悪用されると、ログインしていない外部の第三者がサーバー上で不正なプログラムを実行できるおそれがあります。危険度を示すCVSS（共通脆弱性評価システム）は2件とも9.2で、最も高い「緊急」の区分にあたります。
PHPとは、WordPressで作られたホームページ、予約システム、問い合わせフォームなどを動かしているプログラミング言語です。普段は目に見えませんが、多くの中小企業や店舗のWebサイトはPHPの上で動いています。
開発元のThe PHP Groupは、修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すぐに更新するよう呼びかけています（PHP公式：Security advisory）。公式発表では、設定変更による回避策は「完全な対策ではない」とされており、修正版への更新が基本の対応です。
国の機関である独立行政法人情報処理推進機構（IPA）も、10月21日に注意喚起を出しています。PHPを使っているシステムの洗い出しと、修正版が出たらすぐに適用できるよう準備することを求めています（IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について）。
IPAは10月21日時点で、悪用された攻撃を「確認しているわけではない」としていました。一方で、修正版の公開後には海外のセキュリティ企業から攻撃の試みを観測したという報告も出ています。様子を見るのではなく、早めに確認を進めてください。
▶ Lステップのお申し込みをお考えの方へ初期設定・全機能の解説動画を無料でプレゼント中受け取り方を見る →
LINE運用者がまず押さえたいのは、「LINEの管理画面」と「LINEからリンクしている外部サイト」で、対応する人が違うという点です。
LINEの友だちは、リッチメニューや配信メッセージのリンクから外部サイトへ移動します。リンク先のサイトが改ざんされると、LINEアカウントそのものに問題がなくても、友だちを危険なページへ案内してしまうおそれがあります。LINE運用者の立場で確認すべきなのは、この「LINEから先」の部分です。
確認は、「個人情報やお金を扱うページ」から始めます。具体的には次の7項目です。
PHPのバージョンは、レンタルサーバーの管理画面で確認できることが多いです。ただし、サーバー会社によっては番号を変えずに修正だけを取り込んでいる場合もあります。番号だけで判断せず、サーバー会社の公式なお知らせで対応状況を確認するのが確実です。
見た目が普段通りでも、安全が確認できたことにはなりません。気になる点があれば、サイトの制作会社や保守会社に「今回のPHP脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況」を具体的に問い合わせてください。
複数のクライアントや店舗のアカウントを運用している場合は、確認状況を一覧表にまとめると、抜け漏れを防げます。すべてのアカウントで同じ作業が必要になるわけではないため、リスクの高い順に対応できるよう整理します。
| 管理項目 | 記入内容の例 |
|---|---|
| アカウント名 | クライアント名・店舗名 |
| 主なリンク先 | 公式サイト・予約ページ・フォーム |
| サイトの構築環境 | WordPress／SaaS型サービス／独自開発／不明 |
| 個人情報の取得 | あり・なし |
| PHPの対応状況 | 対応済み・確認中・対象外・不明 |
| 確認先 | 制作会社・サーバー会社の担当者 |
| 進捗 | 未着手・確認中・完了 |
「サイトの構築環境」が「不明」で、「個人情報の取得」が「あり」のアカウントを最優先にします。対応が終わるまでの間は、リッチメニューのリンク先を一時的に変更したり、該当URLを含むステップ配信を止めたりすることも検討してください。
サイトの改ざん、身に覚えのない管理者ログイン、知らないファイルの追加などに気付いた場合は、通常の更新作業ではなく「事故対応」として進めます。自己判断でデータを消すと原因の調査ができなくなるため、次の順番で動くことをおすすめします。
不正アクセスで個人データが漏えいした場合、または漏えいした「おそれ」がある場合は、個人情報保護法に基づいて、個人情報保護委員会への報告と本人への通知が必要になります。報告は、速報（おおむね3～5日以内）と確報の2段階で行います（個人情報保護委員会：漏えい等報告・本人への通知の義務化について）。報告が必要かどうかの判断に迷う場合は、早めに専門家へ相談してください。
どこに相談すればよいか分からない場合は、IPAの「情報セキュリティ安心相談窓口」も利用できます（IPA：情報セキュリティ安心相談窓口）。
また、今回の件に便乗して、パスワードの入力を求める不審なメールやメッセージが届く可能性もあります。ログインを求める連絡が来たときは、届いたメールのリンクを使わず、普段使っている公式の画面から確認するようにしてください。
LINE運用者が自分で対応できるのは「導線と権限の点検」までです。PHPの更新や改ざんの調査は、サーバー会社や制作会社、セキュリティの専門業者に任せるのが安全です。
自社で対応しやすいのは、次のような場合です。
一方で、ステップ配信やフォームが長年積み重なっていてリンク先を把握しきれない場合や、担当者が他の業務と兼務している場合は、点検だけでも大きな負担になります。
株式会社MARKELINKは、LINE公式アカウント・Lステップの構築と運用を支援しています。今回のようなケースでは、セキュリティ診断そのものではなく、LINE側の点検と整理をお手伝いできます。
サーバーやサイトの調査は、それぞれの専門会社と役割を分けて進めることが大切です。
今回の脆弱性を理由に、一律で利用を止める必要はありません。サービス基盤の対策は各提供会社が行うためです。ただし、LINEからリンクしている自社サイトや予約ページは、利用者側で対応状況を確認する必要があります。
WordPressの更新だけでは不十分です。今回の脆弱性はWordPressではなく、その土台であるPHPにあるためです。サーバーのPHPが修正版に更新されているかを、サーバー会社や保守会社に確認してください。
更新済みであっても、更新前に不正アクセスがなかったことの証明にはなりません。不審なログインやファイルの変更がないかを、保守会社に確認してもらうと安心です。
2026年10月21日に修正版が公開されたPHPの脆弱性は、危険度が最も高い区分に分類されています。LINE公式アカウントやLステップの基盤は各社が管理していますが、LINEからリンクしているWebサイトやフォームは、利用者側で対応状況を確認しなければなりません。
対応のポイントは、個人情報や決済を扱うリンク先から順に確認すること、サーバー会社や制作会社に対応状況を具体的に問い合わせること、管理画面の権限を見直すことの3つです。不正アクセスが疑われる場合は、個人情報保護委員会への報告義務も含めて、早めに専門家へ相談してください。
リンク先の洗い出しや権限の整理まで社内で手が回らない場合は、外部の支援を利用するのも一つの方法です。MARKELINKでは、リッチメニュー・ステップ配信・フォームの導線点検、一時的な導線の組み直し、友だちへのお知らせ配信の設計を支援しています。LINE公式アカウント・Lステップの導線点検や運用体制の見直しについて相談したい方は、下記ボタンよりお問い合わせください。
