この記事の中身は、この1枚に入っています。上が「サイト側で起きること」、真ん中が「使い回しの有無で変わる結果」、下が「替える順番」です。

※図の②は「直していないサイトで、乗っ取られた場合に起こりうること」です。2026年10月24日時点で、今回の穴で情報が盗まれたという確定した発表は見当たりません。

インターネットのサービスを、街のお店だと考えてください。通販、銀行、SNS、メール。それぞれのお店のドアを開ける鍵（パスワード）を、あなたは持っています。

お店は、お客さんの名簿を奥の部屋に置いています。名簿には、メールアドレスと、鍵の情報が載っています。

今回のニュースは、たくさんのお店が使っている同じ型の「裏口の錠」に欠陥が見つかったという話です。この錠がPHPです。錠のメーカーは直した錠をすぐ配りました。でも、付け替えるのは各お店です。付け替えが遅れたお店には、泥棒が入れてしまうかもしれません。

怖いのは、泥棒が盗んだ鍵をほかのお店のドアでも試すことです。あなたが同じ鍵を、メールにも銀行にも使っていたら、全部開いてしまいます。

だから、私たちにできることははっきりしています。ドアごとに別の鍵にすること。そして、大事なドアから順番に替えることです。

出典：69.3%はW3Techs（2026年10月24日、サーバー側の言語が分かるサイトのうち）。9.2はPHP開発チームの評価（CVSS v4.0）。「4日前」はTenableのまとめによる、Amazonの脅威情報チームの観測（10月17日）。「未確認」は、この記事を書いた時点で確定した発表を見つけられなかったという意味です。

ひとことで言うと

PHPは、Webサイトの裏で動くプログラムの言葉です。WordPressのブログ、ネットショップ、会員サイトなどで広く使われています。

今回見つかった2つの穴（通称PHP2Shell）は、ログインしていない外の人が、サイトのサーバーで好きな命令を動かせるおそれがあるものです。サーバーで命令を動かせると、名簿を読む、ページを書き換える、といったことができてしまいます。

いつ、何があった？

1. 10月17日：Amazonの脅威情報チームが、この穴を狙う試みを観測（公表の4日前）。
2. 10月20日：PHP開発チームが「重大な修正を明日出す」と予告。
3. 10月21日（日本時間の夜）：修正版を公開。「完全な回避策はなく、更新だけが安全な選択」と発表。直後から、複数のセキュリティ会社が攻撃の試みを観測。
4. 10月22日：JPCERT/CCが注意喚起。「国内でも広く使われている」として、すぐの対策と、攻撃を受けていないかの調査を呼びかけ。
5. 10月23日：PHP開発チームが、条件が限られる別の穴（3つ目）についても情報を公開。

サイトの穴が、なぜ私たちのアカウントの話になるのか。会社員のAさんの例で見てみます。（人物と流れは架空です。よくある流れをまとめました）

1. Aさんは、趣味の通販サイトに会員登録している。パスワードは、メールや銀行と同じ「いつもの1つ」。
2. その通販サイトは、PHPの更新が遅れた。攻撃者が裏口から入り、会員名簿を持ち出す。【お店の問題】
3. 名簿の中身が、ロボットに渡される。「このメールアドレスと、このパスワード」の組み合わせを、ほかのサイトに次々と入れて試す（パスワードリスト攻撃）。
4. Aさんのメールが開く。同じパスワードだったからです。攻撃者は、メールの転送設定をこっそり付けることもあります。
5. 「パスワードを忘れた」ボタンが押される。再設定のメールは、乗っ取られたAさんのメールに届く。通販、決済アプリ、SNSが次々に奪われる。
6. カードが使われる・友だちに詐欺のメッセージが届く。Aさんが気づくのは、明細を見たときや、友だちから連絡が来たとき。

警察庁の統計でも、2025年に検挙された「他人のIDとパスワードを使った不正アクセス」399件のうち、手口で一番多かったのは「パスワードの設定・管理の甘さにつけ込んだ」84件（5件に1件）でした。警察庁は、複数のサイトで同じIDとパスワードの組み合わせを使わないよう呼びかけています。

盗んだパスワードをほかのサイトで試す手口は、昔からあります。変わったのは、攻撃する側の手間です。

Googleの報告はクラウドへの侵入事件で、パスワードの使い回しを試した事件ではありません。「AIで攻撃の手順を自動化できる」ことを示す例として載せています。AIでパスワードリスト攻撃が何倍に増えたか、という一次資料の数字は見つけられませんでした。

ポイントは、攻撃者は1件ずつ狙わないということです。あなたを狙うのではなく、名簿の全員を順番に試します。「自分なんか狙われない」は通用しません。使い回しをしていれば、それだけで当たりになります。

全部を一度にやらなくて大丈夫です。今日は1と2。3と4は週末にまとめて、くらいの気持ちで進めてください。

手順1　メールアドレスのパスワードを替える（＋2段階認証）

メールは、ほかのすべての鍵を作り直せる「合鍵の元」です。ここだけは今日やってください。

• パスワードを、ほかでは使っていない長いものに替える。Gmailなら、Googleアカウントの「セキュリティ」→「パスワード」。Yahoo!メールやOutlook、携帯会社のメールも同じように、アカウントの設定画面から替えます。新しいパスワードは、その場でパスワード管理（手順3）に保存させると忘れません。
• 2段階認証（ワンタイムパスワード）をオンにする。パスワードに加えて、スマホのアプリや通知、6桁のコードで本人確認する仕組みです。警察庁も、ワンタイムパスワードなどの2段階の認証を使うよう呼びかけています。Googleなら「セキュリティ」→「2段階認証プロセス」です。
• こっそり付けられた仕掛けがないか見る。知らない転送設定（Gmailは「設定」→「すべての設定を表示」→「メール転送とPOP/IMAP」）、知らないログイン中の端末、知らない再設定用の電話番号やメールアドレスがないか確認します。あれば消します。

手順2　カード・銀行がつながっているアプリのパスワードを替える

次はお金が動くドアです。IPAも、お金の情報を登録しているサービスや、メールアドレスをIDにしているサービスでは、特に使い回しを避けるよう書いています。

• 対象を書き出す。カード会社の会員サイト・アプリ、ネットバンキング、証券口座、決済アプリ（QRコード決済など）、カードを登録している通販サイト。
• メールと違う、それぞれ別のパスワードに替える。2段階認証やログイン通知があれば、一緒にオンにします。
• ついでに明細を見る。心当たりのない請求があれば、カード裏面の電話番号に連絡します。

手順3　使い回している残りを、パスワード管理アプリで替えていく

残りのサービスは、パスワード管理アプリを使って片付けます。鍵を全部入れておくキーケースのようなものです。あなたが覚えるのは、キーケースを開ける方法（スマホの画面ロックやGoogle・Appleのアカウント）だけになります。

• 使い回しを洗い出す。Googleパスワードマネージャーなら「パスワード チェックアップ」で、漏洩・使い回し・脆弱なパスワードが一覧になります（パソコンのChromeか、passwords.google.com）。iPhoneやMacの「パスワード」アプリは「セキュリティ」の項目で、安全性が低いパスワード・侵害されたパスワードが見られます。
• 大事な順に替える。個人情報が多いもの（通販・ポイント・携帯会社）→ SNS → そのほか。変更画面では、アプリが作るランダムで長いパスワードをそのまま使います。
• 使っていないアカウントは退会する。鍵を替えるより、ドアそのものをなくす方が確実です。

どのアプリを選ぶかは、次の章の表を見てください。

手順4　パスキーを設定する

パスキーは、顔や指紋でスマホのロックを外すだけでログインできる鍵です。たとえるなら、合鍵が作れない電子錠。サイトの名簿にあなたの「鍵そのもの」が置かれないので、名簿が盗まれても、使い回しという弱点がそもそも生まれません。にせサイトでは動かないので、だまされて鍵を渡す心配も減ります。IPAも、パスキーが使えるなら使うよう勧めています。

• まずは手順1・2で替えたアカウントから。Google、Apple、Microsoft、Yahoo! JAPAN、dアカウント、au ID、楽天IDなど、大きなサービスから対応しています。設定画面の「パスキー」や「セキュリティ」を探します。
• 2台目の鍵を用意する。スマホをなくしたときのために、別の端末にも登録するか、予備の入り方（予備の連絡先など）を確認しておきます。
• パスワードが残るサービスもある。パスキーを足しても、パスワードでのログインが残るサービスがあります。その場合、残ったパスワードも長く、使い回さないものにしておきます。

新しく何かを買う必要はありません。多くの人は、いつも使っているスマホやブラウザに最初から入っているもので十分です。

製品ごとの細かい違い（暗号化のしかた、過去の事故、乗っ取られたときの戻し方）は、パスワード管理アプリ9製品を7つの壁で安全性比較とGoogle・Appleのパスワード管理で十分？有料アプリとの違いにまとめています。料金はプランと時期で変わるので、公式サイトで確認してください。