PHPの重大な脆弱性を受け、長期運営されてきたオンラインゲーム2作品がサービスを終了しました。一方、複数の大手タイトルは緊急メンテナンス後に再開しました。サーバー環境を更新できるかどうかが、サービス継続の判断を分けました。
認証なしでコード実行につながるPHPの脆弱性
問題となったのは、PHPの脆弱性「CVE-2026-109618」と「CVE-2026-109619」です。PHP開発チームは両方を修正した更新版を公開しました。CVSS v4.0では、それぞれ9.2と評価されています。
この脆弱性を悪用されると、攻撃者が認証を受けずに外部から任意のコードを実行する恐れがあります。サーバーの乗っ取りや機密情報の流出につながる可能性があるため、PHPの修正版を適用する必要がありました。
PHP 8.5.12、8.4.27、8.3.36、8.2.35が修正版です。影響を受けるのはWebリクエストを処理するPHP環境です。PHP公式は、特にmod_phpでリスクが高く、アプリケーションのコードが動く前に攻撃を受ける実証例があるとしています。
『ワールドクエスト』は告知当日に終了
『ワールドクエスト』は2011年にGREEで始まり、モバゲーなどにも展開した旅行ゲームです。100以上の国や1,000を超える都市を舞台に、交通手段を使って各地を旅する内容でした。
2019年5月に一度終了した後、海外旅行が難しくなった人にゲーム内旅行を楽しんでもらう目的で、2020年5月に再開しました。運営は10月21日、サーバーで使うPHPの脆弱性に十分な対策を取るのが難しいとして、同日限りでサービスを終了すると発表しました。
終了告知では、利用者の情報を守ることを優先した判断だと説明し、突然の告知について謝罪しました。
『僕の魔界を救って！』も10年以上の運営に幕
JAGSのスマートフォン向けゲーム『僕の魔界を救って！』も、10月22日にサービス終了を発表しました。2011年に登場した放置型のファンタジーシミュレーションRPGで、プレイヤーが魔王となり、魔物を率いて地域へ遠征させる作品です。
終了の理由は、PHPの深刻な脆弱性への対応が難しくなったことです。運営は突然の知らせを謝罪し、10年以上プレイした利用者に感謝を伝えました。
一方、大手タイトルは一時停止後にサービスを再開しました。『ウマ娘 プリティーダービー』『グランブルーファンタジー』『Shadowverse: Worlds Beyond』『プリンセスコネクト！Re』は10月21日夜から緊急メンテナンスに入りました。
メンテナンス後に再開したタイトルとPHPのサポート期間
『Shadowverse: Worlds Beyond』は10月22日未明、『プリンセスコネクト！Re』は午前2時10分、『ウマ娘 プリティーダービー』は午前2時30分にメンテナンスを終了しました。『グランブルーファンタジー』も午前7時に終了しましたが、その時点ではDMM版とGREE版は対象外でした。
メンテナンスの告知時点で、これらのタイトルは脆弱性を悪用した被害やユーザーデータの流出を確認していないと案内しました。PHP公式は、更新をすぐに適用できない場合の設定変更なども挙げています。ただし、これらは特定の攻撃経路への露出を減らす措置であり、完全な解決には更新が必要だとしています。
CVSSは脆弱性の特徴と深刻度を伝える枠組みで、基本、脅威、環境、補足の4つの指標群から成ります。基本スコアは0から10までで、脆弱性に固有の特徴を表します。脅威指標は時間とともに変わる要素を、環境指標は利用者ごとの環境を反映します。
CVSS v4.0の数値は、使われた指標によって意味が異なります。基本スコアは脆弱性の深刻度を測るもので、単独ではリスク評価になりません。リスクの判断には、脅威や利用環境の指標も必要です。
PHPの各リリース系列は、最初の安定版公開から2年間、通常の不具合とセキュリティ問題の修正対象となります。その後2年間は、重大なセキュリティ問題に限って対応されます。4年間のサポートが終わると、その系列はサポート終了となります。
PHP 8.1は2025年12月31日、8.0は2023年11月26日にサポートを終了しました。8.1以前はPHP開発チームから通常の更新が提供されず、今回の脆弱性については一部のディストリビューションや長期サポート提供元が修正を提供する場合があります。
