ソフトバンクは、ウェブ向けのプログラミング言語「PHP」に見つかった脆弱性（セキュリティー上の欠陥）への対応のため、10月23日午前6時47分から携帯電話の「緊急速報メール」の配信を停止した。25日午前9時25分に、気象庁が配信する緊急地震速報と津波警報の配信は再開したが、国や地方公共団体が配信する「災害・避難情報」は引き続き止まっている。同社はメンテナンスを26日に終える予定で、「完了次第お知らせします」としている。
23日朝に停止、地震・津波は2日後に再開
ソフトバンクが23日付で掲載し、25日午前10時30分に更新したお知らせによると、配信停止は「PHPの脆弱性への対応に伴い」行ったメンテナンスによるもので、開始は23日（金）午前6時47分。メンテナンスの一部が終わったことから、25日午前9時25分に緊急地震速報と津波警報の配信を再開した。
一方、国や地方公共団体が配信する災害・避難情報は、更新時点でも停止が続いている。同社はお知らせで「メンテナンス中は、緊急速報メールによる災害・避難情報を受信できません」と説明し、避難情報などを受け取れる「Yahoo!防災速報」アプリなどを使うよう呼びかけた。利用者に対しては「引き続きご不便をおかけしておりますことを、おわび申し上げます」としている。
お知らせは、自社のどのシステムがPHPを使っていたのか、今回の欠陥による被害や不正なアクセスがあったのかについては触れていない。停止の対象となった契約ブランドの範囲も、お知らせには書かれていない。
止まったままの「災害・避難情報」とは
緊急速報メールは、携帯電話会社が提供する一斉配信の仕組みだ。ソフトバンクの案内では、気象庁が配信する「緊急地震速報」「津波警報」と、国・地方公共団体が配信する「災害・避難情報」などを、対象のエリアにいる利用者へ「ブロードキャスト（同報）配信」する。回線が混み合っても影響を受けず、無料で受け取れるのが特徴で、対応するスマートフォンでは購入時から受信する設定になっている。
今回止まったままの災害・避難情報には、市町村が出す避難指示などに加え、気象などの特別警報も含まれる。ソフトバンクによると、特別警報は気象庁の発表に基づき、2022年12月26日午後2時をもって気象庁からの配信を終え、地方公共団体が配信する項目に移った。また同社は、衛星を使う「SoftBank Starlink Direct」では災害・避難情報のうち「国民保護警報」に対応していると説明しており、国民保護警報もこの区分に含まれる。
つまり25日以降も、地震と津波以外の避難の呼びかけや特別警報は、ソフトバンクの緊急速報メールでは届かない状態が続いている。10月16日には、NTTドコモの端末に緊急地震速報が配信されない不具合も起きており、総務省が他社にも確認を促していた（ドコモ端末に緊急地震速報が届かず 総務相「他社にも必要な対応を促す」）。
発端は「認証なしで遠隔操作」のおそれがあるPHPの欠陥
対応のきっかけとなったPHPは、ウェブサイトやウェブサービスの裏側で動くプログラムを書くための言語で、JPCERT/CCは国内でも広く使われていることを確認している。開発元のThe PHP Groupは10月20日、重大な欠陥2件を直す更新版を21日午後11時（日本時間）に出すと予告し、2件の深刻度はいずれも共通評価基準（CVSS v4.0）で10点満点の9.2だと明らかにした。
21日に公表した勧告によると、2件はいずれも、ログインなどの認証を経ずに外部から任意のプログラムを実行される（リモートコード実行）おそれがある欠陥だ。1件（CVE-2026-109618）は、メモリー不足の処理で内部のデータが中途半端な状態のまま扱われてしまう問題、もう1件（CVE-2026-109619）は、解放済みのメモリーに残った情報が、同じ処理プロセスが受ける次の通信で使われてしまう問題とされる。
影響を受けるのは、ウェブからの通信を処理するPHPの環境全般で、PHP-FPM、ApacheのPHPモジュール（mod_php）、php-cgi、FrankenPHP、LiteSpeedが挙げられている。開発元はmod_phpの危険が最も高いとし、アプリケーションのコードが動く前に、認証のない1回の通信で攻撃を始められることを実証済みだとしている。
| 系統 | 修正済みの版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1以前 | 開発元の更新対象外（7.4・8.0・8.1には最小限の修正を提供） |
出典: The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）、JPCERT/CC 注意喚起（2026年10月26日更新）
攻撃の試みを観測、JPCERT/CC「侵害の調査も」
日本の情報セキュリティーの調整機関であるJPCERT/CCは22日に注意喚起を出し、速やかな対策と侵害の有無の調査を求めた。26日の更新では、欠陥を悪用できると主張する実証コードが多数公開されているほか、悪用を試みる通信を観測したとの報告も相次いでいると追記した。実際に任意のコードを実行できるかはPHPの版や実行環境などに左右されるとしつつ、新たな攻撃手法の公開が進む可能性があるとして、修正版への更新を改めて促している。
開発元は、すぐに更新できない利用者向けに、メモリー上限の設定を外す、受け付ける送信データの大きさを絞る、セッションのアップロード進捗機能（session.upload_progress）を無効にする、といった緩和策を示した。ただし「更新だけが完全な解決策」で、緩和策は特定の攻撃経路を減らすにとどまり、安全にはならないとしている。
開発元は23日には、特殊な設定とアプリケーションのコードが組み合わさった場合に限って任意のコードを実行されうる別の欠陥（CVE-2026-115560）も公表した。影響を受ける構成は一般的ではないとして通常のリリース周期で直す方針で、それまでは同じくsession.upload_progress を無効にするよう勧めている。
JPCERT/CCは侵害の調べ方として、異常に長い、または形式のおかしいセッション用Cookie（PHPSESSID）を返していないか、不審なファイル送信形式（multipart/form-data）の通信の前後にメモリー上限のエラーやHTTP 500エラーが出ていないか、PHPの処理プロセスが予期せず落ちたり頻繁に再起動したりしていないか、といった点を挙げた。痕跡が見つからなくても攻撃を受けていないとは断定できないとして、継続的な監視も求めている。
26日の完了予定、受け手に残る空白
ソフトバンクのお知らせは、メンテナンスの完了を26日（月）としている。完了すれば災害・避難情報の配信も戻る見通しだが、本紙が26日午後6時すぎに同社のお知らせを確認した時点では、25日の更新が最新で、完了の告知は出ていなかった。
緊急速報メールは、利用者が自分で何も設定しなくても、居場所に応じて避難の呼びかけが届く仕組みとして使われてきた。今回は、ウェブの基盤技術の欠陥に急いで対処する作業のために、その一部を数日にわたって止める判断となった。停止中に災害・避難情報が出ていたかどうか、出ていた場合に利用者へどう届いたのかについて、同社はお知らせで説明していない。同社は完了後に改めて告知するとしており、配信の再開時刻と、停止に至った経緯の説明が示されるかが焦点になる。