今日の見方
今回、国内の上場企業で影響が具体化した例として確認できるのはBASEです。同社はPHPの重大脆弱性を理由に、ショップ管理画面、ショップページでの閲覧・注文、PAY IDアプリ、BASE APIを含むサービスを停止しました。10月22日8時に緊急メンテナンス完了を告知しています。
この停止は脆弱性の悪用被害を公表したものではなく、修正対応を急ぐためのサービス停止です。BASEの告知は業績への影響額に触れていません。停止中に発生し得る注文機会の逸失や出店者対応の負担は考えられますが、実績としてどの程度生じたかは開示資料から分かりません。
脆弱性と修正状況
PHP開発チームは10月21日、未認証の攻撃者による遠隔コード実行につながる脆弱性2件（CVE-2026-109618、CVE-2026-109619）を公表しました。PHP 8.5.12、8.4.27、8.3.36、8.2.35に修正が含まれます。PHP開発チームは、ウェブ要求を処理するPHP環境が対象となり、特にApacheのmod_phpはリスクが高いと説明しています。
古いPHPの一部は本家プロジェクトの通常サポート対象外です。Linuxディストリビューションや長期サポート事業者が修正を提供している場合もあるため、実際の対応版は運用形態と提供元の告知に左右されます。バージョン番号だけを見て、影響の有無を一律に判断することはできません。
国内企業への影響
BASEの事例が示すのは、修正プログラムの適用そのものに加え、影響範囲の確認、動作検証、再起動やサービス再開の判断が事業運営に直結することです。ECでは注文画面や管理機能が止まれば、利用者と出店者の双方が一時的に取引できなくなります。別業種でも、顧客向けサイトや社内業務システムが影響を受ける構成なら、緊急対応中の停止や機能制限が起こり得ます。
ただし、国内企業のうち何社が影響を受けるPHP環境を使っているかは公表されていません。PHPを含む機器や外部サービスもあり、企業が自社で利用状況を把握できないケースもあります。今回確認できたBASEの停止を、日本企業全体の被害や上場企業の業績悪化へ広げて解釈する根拠はありません。
投資家が見る点
個社への影響を測るには、会社の障害・メンテナンス告知で停止した機能と時間、復旧状況、情報漏えいや不正アクセスの有無を分けて確認します。業績面では、売上機会の逸失、顧客補償、追加対応費用について会社が数値を示すまでは推計を置かない方が適切です。
BASEについてはサービス再開を確認できましたが、今回の停止による売上・利益への影響額は未公表です。ほかの上場企業についても、PHP利用の有無だけで被害や費用を推定せず、各社や製品提供元の発表を待つ必要があります。
関連ページ
出典
- The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日公表）
- BASE「緊急メンテナンス完了のお知らせ」（2026年10月22日公表）
- 情報確認日：2026年10月22日