日本公認会計士協会は2026年10月22日、PHP脆弱性を受け会員マイページのログインを停止しました。

日本公認会計士協会（JICPA）は、PHPの深刻な脆弱性に関する注意喚起を受けた予防措置として、会員マイページへのログインを一時停止し、緊急メンテナンスを実施していると案内しました。同じ10月21日には、OpenAIとWizがPHPの重大な脆弱性2件を公表し、PHP側も修正版を公開しています。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。会員向けシステムを持つ職能団体の対応は、自事務所のWebサイトや業務システムを見直す材料になるため、速報として事実関係を整理します。

日本公認会計士協会の案内内容

日本公認会計士協会は2026年10月22日付で、【緊急メンテナンス】会員マイページについてを公表しました。案内によれば、独立行政法人情報処理推進機構（IPA）等が公表したPHPの深刻な脆弱性に関する注意喚起を受け、会員の情報を守るための予防措置として、会員マイページへのログインを一時停止しています。メンテナンス中はマイページを利用できず、完了次第あらためて連絡するとされています。

この案内から確認できるのは、予防措置としての一時停止であるという点です。情報漏えいなどの被害が発生したかどうかについては、案内の範囲では触れられていません。再開時期も記載がないため、会員の方は協会の最新のお知らせを確認する段階です。

発端となったPHP脆弱性の公表内容

発端は、2026年10月21日にOpenAIが公表した重大な脆弱性の調整された開示です。OpenAIの説明では、ウェブサイトやWebアプリケーションの実行に広く使われるオープンソース言語PHPの重大な脆弱性2件が対象で、同社の取り組み「Patch the Planet」の中でCalif社が「GPT-5.6 Sol」を使って1件を特定しました。セキュリティ企業のWizも、独自に両方を発見して報告したとされています。AIによる脆弱性発見を伝えたThe Decoderの記事によれば、修正の調整には2か月、5つの段階が使われました。

技術面はWizの解説に詳しく、4件の不具合が2つのCVE（CVE-2026-109618とCVE-2026-109619）にまとめられ、CVSSは最大9.2とされています。認証なしにリモートから攻撃でき、WordPressやDrupalなどに対する認証前のリモートコード実行が実証されたと説明されています。Wizの記事では、過去10年間にリリースされたすべてのバージョンが影響を受け、PHP 5.4まで遡るとされています。正確なバージョン範囲と修正版の番号は、同記事では示されていません。PHPは2026年10月21日にパッチを公開したとされるため、詳細はPHP公式の案内で確認する段階です。

士業事務所のWebサイトや業務システムとの関わり

士業事務所のWebサイトの多くはWordPressなどのCMSで運営されており、これらはPHPで動いています。Wizの記事は、今回の脆弱性がアプリケーションの実装ではなくPHP本体にあるため、アプリケーションのコードに欠陥がなくても影響を受けうると説明しています。自所のサイトに直接の影響があるかどうかは、利用しているPHPのバージョンと、レンタルサーバーなどの提供事業者の対応状況によって変わります。

OpenAIは、サーバー運用者向けに影響確認用のPHPバージョンチェッカーをGitHubで公開しています。あわせて、PHP公式と提供事業者のガイダンスに従って更新を適用し、必要に応じて侵害の有無を確認するという流れを示しています。Wizの記事は、パッチ適用が唯一の完全な是正策であるとし、すぐに適用できない場合はCDNやWAFの緩和策を利用できると述べています。

守秘義務の観点では、問い合わせフォームや顧客向けの資料共有ページなど、依頼者の情報を扱う画面が同じサーバー上にあるかが論点になります。そのため、サーバーの提供事業者に対応状況を問い合わせ、ログイン機能を持つ画面の一時停止を検討する事務所もあると考えられます。

今後の動き

今後は、PHPの修正版を各ホスティング事業者がどの時期までに反映するか、また悪用の報告が出るかが注目点です。Wizの記事は、アプリケーションログには痕跡がほとんど残らない可能性があると指摘しており、HTTP 500応答の繰り返しなどを監視点として挙げています。

また、AIモデルが脆弱性を発見し、その成果が各国の政府機関も交えた調整の枠組みで公開される流れも、今回の特徴です。士業事務所にとっては、生成AIの活用だけでなく、AIによって攻撃側と防御側の速度が変わる局面にあるという情報として、IT環境の点検頻度を考える材料になります。

まとめ

日本公認会計士協会は、PHPの深刻な脆弱性に関する注意喚起を受け、2026年10月22日に会員マイページのログインを予防措置として停止しました。背景には、10月21日に公表されたPHP本体の重大な脆弱性2件があり、WordPressなどを使う事務所のWebサイトも無関係ではありません。提供事業者の対応状況と協会の続報を確認する段階です。

参考文献

• 日本公認会計士協会 【緊急メンテナンス】会員マイページについて
• OpenAI Coordinated disclosure of critical vulnerabilities
• Wiz PHP2Shell: PHPコアエンジンの脆弱性
• The Decoder OpenAI’s GPT-5.6 Sol and Gemini 4 Argon discovered the critical PHP vulnerability

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: 日本公認会計士協会