★要点
ウェブで広く使われるプログラミング言語PHPに重大な脆弱性「PHP2Shell」（IPAの表記はPHP2shell）が見つかってから2週間あまり。各地の自治体が、公式ウェブサイトや関連システムの一時停止に踏み切った。
全国1,741自治体のウェブサイトを調べた産経新聞の調査（ITmedia NEWSが転載）によると、10月29日午後9時の時点で、少なくとも31市町村（8市17町6村）の公式サイトが通常どおり閲覧できない状態だった。情報処理推進機構（IPA）は注意喚起で、修正プログラムの適用が難しい場合の対策として「サービスの一時停止」や「提供機能の縮小」も挙げている。IPAは、国内での攻撃被害の事例は把握していないとしている。
修正をすぐに適用できず、有効な暫定対策も難しい場合、サイトを一時停止することは被害を防ぐための選択肢となる。問われているのは、止めたサイトを直す人と、その仕組みのほうだ。国が進める基幹業務システムの標準化の対象は、住民記録や税など20の業務で、公式ウェブサイトは含まれていない。総務省は、市町村を支えるデジタル人材を都道府県単位で確保する取り組みを進めているが、目標の500名程度に対し、確保できたのは127名（2026年7月末時点の速報値）だ。小さな自治体のデジタル保守の現在地を読み解く。
★背景
自治体の公式ウェブサイトは、防災情報やごみの出し方、各種手続きの案内など、住民の暮らしに欠かせない情報の入り口になっている。多くのサイトは、コンテンツ管理システム（CMS）と呼ばれるソフトウェアの上で動いており、PHPで作られたCMSも少なくない。
ソフトウェアは、一度作れば終わりではない。脆弱性が見つかるたびに修正を当て、使っているバージョンのサポートが終われば更新しなければならない。道路や橋と同じように、点検と修理を続けなければ、安全に使い続けることはできない。
しかし、職員数の限られた小さな町や村では、システムの専門知識を持つ職員がいないことも珍しくない。サイトの構築や保守を外部の事業者に委託している場合、修正の作業も委託先しだいになる。デジタルのインフラを、誰がどう手入れし続けるのか。今回の脆弱性は、その問いを改めて突きつけた。
町の公式サイトを開くと、「現在、メンテナンス中です」という表示が出る。
いつもなら見られるはずの、イベントの案内や窓口の受付時間が分からない。
10月下旬、各地の自治体で、こうした光景が広がった。
原因は、ウェブサイトの土台に使われているプログラミング言語の重大な脆弱性だった。
修正が間に合わず、ほかに有効な手立てもないなら、いったん止める。それは、住民の情報を守るための選択肢の一つだ。
だが、止めたサイトを誰が直すのか。小さな自治体のデジタルの保守体制をたどる。
10月21日、PHPに重大な脆弱性――「止める」も対策の一つ
ウェブで広く使われるプログラミング言語PHPに、遠隔の第三者に任意のコードを実行されるおそれのある脆弱性が2件見つかった。CVE-2026-109618とCVE-2026-109619で、まとめて「PHP2Shell」と呼ばれる。PHPの開発者は10月21日、修正したバージョン（8.5.12、8.4.27、8.3.36、8.2.35）を公開した。
国家サイバー統括室（NCO）は同じ10月21日、X（旧ツイッター）で脆弱性を公表し、修正プログラムをできるだけ早く適用する準備を呼びかけた。共同通信によると、NCOは修正の適用が難しい場合に、ウェブサイトの一時停止を有効な対策として示した。首相もXで、NCOの発信を参考に準備するよう呼びかけた。
IPAは10月22日に注意喚起を出した。修正版への更新を求めたうえで、更新までの間はアクセス制限などの対策を講じ、それが難しい場合は「サービスの一時停止」が必要かを判断するよう求めている。長期的には「提供機能の縮小」や公開の終了、システムの廃止も含めて方針を決めるよう促した。
IPAは10月27日、米国のサイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）が、2件の脆弱性を悪用が確認された脆弱性のカタログ（KEV）に追加したことを追記した。一方で、国内での攻撃被害の事例は把握していないとしている。11月2日には、VPN機器などのウェブ管理画面でもPHPが使われている場合があるとして、製品の開発者の情報を確認するよう追記した。
31市町村のサイトが通常どおり閲覧できず――停止の先に残る課題
自治体の対応は、規模によって分かれた。
都道府県や大きな市では、使っているシステムを点検し、対応できたものから再開する動きが見られた。例えば滋賀県は、10月28日18時時点で161のシステムを点検し、そのうち7件が停止中だと公表した。停止中のシステムには、県の防災情報システムも含まれていた。仙台市は、11月2日時点で停止中のサービスはないとしている。
一方で、公式サイトの停止や機能の縮小が長引いた自治体もある。産経新聞が全国1,741自治体のウェブサイトを調べたところ、10月29日午後9時の時点で、少なくとも31市町村（8市17町6村）のサイトが通常どおり閲覧できない状態だった。31市町村の事情はそれぞれ異なるが、記事は「ITノウハウ持つ人材少なく」との見出しで、小規模な自治体での人材不足にも触れている。産経新聞の取材に対し、沖縄県伊是名村の担当者は、ITの専門知識を持つ人材が少なく、委託業者に教わりながら対応していると説明した。また、高知県東洋町の担当者は、サイトが古くなっていたものの、作り直しには費用と時間がかかると話している。
修正を当てるには、まず自分たちのサイトのどこでPHPが使われ、どのバージョンなのかを把握しなければならない。CMSを委託先が管理していれば、委託先の作業を待つことになる。古いバージョンを使い続けていれば、修正だけでなく、更新や移行の作業が必要になる。IPAも、PHP 8.1以前はサポートが終了しているとして、更新や移行の検討を求めている。
修正をすぐに当てられず、有効な暫定対策も難しい場合、止めることは被害を防ぐための選択肢となる。しかし、止めている間、住民は情報を受け取れない。再開までの時間は、日ごろの保守の体制がどれだけ整っているかを映し出す。
標準化の外にある公式サイト
国は、自治体の情報システムの見直しを進めている。デジタル庁などは、住民基本台帳や税、福祉など20の基幹業務について、自治体ごとにばらばらだったシステムを標準仕様に合わせ、国が用意するガバメントクラウドの上に移す「標準化」を進めてきた。
ただ、この標準化の対象は20の基幹業務に限られ、公式ウェブサイトやそのCMSは含まれていない。公式サイトは、それぞれの自治体が独自に、あるいは委託先とともに構築し、保守を続けている。今回停止が相次いだのは、まさにこの標準化の外にある領域だった。
住民にとって、公式サイトは役所の「玄関」だ。基幹業務のシステムがどれほど整っても、玄関が閉じていれば、必要な情報にたどり着けない。
「ひとりで守らない」仕組み――県単位のセキュリティと人材の共有
小さな自治体が一つひとつ専門人材を抱えるのは難しい。そこで、守る仕組みや人を都道府県単位で分け合う取り組みが進んでいる。
その一つが「自治体情報セキュリティクラウド」だ。都道府県と市区町村がウェブサーバーなどを集約し、監視やログの分析といった高度なセキュリティ対策をまとめて行う。総務省の2024年の資料によると、IPS・IDS・WAFなどのセキュリティ対策によって、検知対象となった日々のサイバー攻撃の99％以上を遮断しているという。ただし、入り口を守る仕組みがあっても、その内側で動くソフトウェアの修正は、それぞれの自治体と委託先が担う必要がある。
人材の面では、総務省が、都道府県が市町村を支える体制づくりを後押ししている。2026年9月の資料によると、令和7年度末時点で47都道府県すべてが、市町村との会議体、現状と課題の把握、市町村支援のための専門人材の確保、システムの共同調達などのテーマ設定という4つの機能を備えた推進体制を整えた。地域で自治体のDXを支える「自治体DXアクセラレータ」は、2026年7月末時点の速報値で127名（41団体）。総務省は、今後数年で全国500名程度の確保を目指している。
システムを一緒に調達する動きもある。熊本県と県内市町村でつくる協議会は、AIを使った議事録作成システムを共同で調達し、年間3割以上のコスト削減効果が出ているという。県が仕様書などを作るため、参加する市町村の事務の負担も抑えられる。同じ考え方を、ウェブサイトのCMSやその保守にも広げられるかが、次の課題になる。
デジタルのインフラも、手入れを続ける
IPAは、国内での攻撃被害の事例は把握していないとしている。修正を急ぎ、必要に応じて早い段階で止めるという判断は、住民を守るための手入れの一つだった。
しかし、止めたままでは、住民に情報は届かない。どこでどのソフトウェアが動いているかを把握し、修正を当て、古くなったものを更新する。その仕事を、小さな自治体がひとりで担い続けるのは難しい。
県単位で入り口を守り、委託先と保守の責任を明確にし、人とシステムを地域で分け合う。道路や上下水道と同じように、町のウェブサイトもまた、手入れを続けなければ保てないインフラになっている。
【参考】
独立行政法人情報処理推進機構（IPA）：「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日公開、11月2日更新）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
（報道）産経新聞「『ITノウハウ持つ人材少なく』 PHP脆弱性問題、31市町村でサイト一時停止継続」（ITmedia NEWS転載、2026年10月30日）
https://www.itmedia.co.jp/news/article/2610/30/2000002766/
（報道）共同通信「PHP注意喚起、状況把握に全力 政府、SNSで情報周知」（熊本日日新聞掲載、2026年10月22日）
https://kumanichi.com/articles/2049509
滋賀県：「【第6報】PHPの重大な脆弱性に関する対応について」（2026年10月28日）
https://www.pref.shiga.lg.jp/ce00/press-release/34590.html
仙台市：「仙台市が管理・利用するウェブサイト・サービスの一部停止について（令和8年10月21日に発覚したPHPの脆弱性対応）」（2026年11月2日更新）
https://www.city.sendai.jp/security/20261021php_security.html
総務省：「都道府県と市町村におけるAX/DX推進体制の充実・強化とデジタル人材の確保・育成について」（2026年9月）
https://www.soumu.go.jp/main_content/001092501.pdf
総務省：「自治体情報セキュリティクラウドについて」（2024年9月4日）
https://www.soumu.go.jp/main_content/000972052.pdf
総務省 自治体DX推進ポータル：熊本県・市町村電子自治体共同運営協議会の事例
https://www.soumu.go.jp/denshijiti/digital_transformation_portal/case/pdf/r07_dx4_01.pdf
デジタル庁：地方公共団体の基幹業務システムの統一・標準化
https://www.digital.go.jp/policies/local_governments
FAQ
Q. PHP2Shellとは何ですか？
A. プログラミング言語PHPで見つかった2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です（IPAの表記はPHP2shell）。悪用されると、遠隔の第三者に任意のコードを実行されるおそれがあります。2026年10月21日に修正版（8.5.12、8.4.27、8.3.36、8.2.35）が公開されました。
Q. なぜ自治体はウェブサイトを止めたのですか？
A. 修正プログラムをすぐに適用できず、有効な暫定対策も難しい場合、サイトを一時停止することが被害を防ぐための選択肢となるからです。IPAも、更新までの間の対策としてアクセス制限を挙げ、それが難しい場合は「サービスの一時停止」が必要か判断するよう求めています。
Q. どれくらいの自治体がサイトを止めていたのですか？
A. 全国1,741自治体のウェブサイトを調べた産経新聞の調査によると、10月29日午後9時の時点で、少なくとも31市町村（8市17町6村）の公式サイトが通常どおり閲覧できない状態でした。滋賀県では10月28日18時時点で、点検した161のシステムのうち7件が停止中でした。
Q. 国内で被害は出ているのですか？
A. IPAは、国内での攻撃被害の事例は把握していないとしています（2026年11月2日更新時点）。一方で、米国のCISAは2件の脆弱性を、悪用が確認された脆弱性のカタログに追加しています。
Q. 小さな自治体のウェブサイトの保守を支える仕組みはありますか？
A. 都道府県と市区町村がウェブサーバーなどを集約してまとめて監視する「自治体情報セキュリティクラウド」や、都道府県が市町村を支える人材を確保する取り組みがあります。地域でDXを支える「自治体DXアクセラレータ」は2026年7月末時点で127名で、総務省は500名程度の確保を目指しています。
あわせて読みたい記事
【点検から修理へ】下水のDNA、写真の3D、鉄筋の揺れを測るレーダ——インフラの“見えない傷”を見つける道具箱 東北大学、XMAT、群馬大学ほか、JFEエンジニアリング、自治体調査から読む「直す前に見つける」技術の現在地
【社会のほうを“調整”する】脳の多様性、生理、住まいの壁を外す11月