三菱UFJ・静岡銀はなぜ「止める決断」？ PHP欠陥が突きつけた銀行の“思わぬ弱点”

「止まらない銀行」が安全？ PHP危機で見えた盲点

　2026年10月、静岡銀行や三菱UFJ銀行が一部の顧客向けサービスを停止した。しかし、銀行間決済システムへの影響は確認されなかった。預金と資金移動を支える金融機関で、「止めるべき業務」と「守るべき機能」の境界が問われた。

　発端は、Webサービスなどに使われるプログラミング言語「PHP」の重大な脆弱性2件だ。開発元は10月21日、「CVE-2026-109618」と「CVE-2026-109619」を修正した更新版を公開。組み合わせて「PHP2shell」と呼ばれ、悪用されれば第三者が遠隔から不正なプログラムを実行する恐れがあった。

　静岡銀行はホームページと「しずぎんアプリ」を予防的に停止し、22日13時30分に再開。三菱UFJ銀行もネットバンキングの一部取引を一時停止した。一方、全国銀行協会は、銀行間決済への影響は確認されていないと説明した。

　こうした金融機関の対応について、片山さつき金融担当相は10月23日の会見で、多くの金融機関が予防的にシステムを停止し、パッチ適用などの対応が「比較的円滑」に進んだとの認識を示した。

　その後、事態の深刻さを裏付ける動きもあった。情報処理推進機構（IPA）は10月27日、PHPの脆弱性に関する注意喚起を更新し、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、問題の脆弱性を「KEV（Known Exploited Vulnerabilities）」に登録したと伝えた。

　KEVは、実際の悪用を裏付ける証拠に基づいて脆弱性が登録されるリストで、危険性が高いというだけでは掲載されない。今回の問題は単なる潜在的な危険ではなく、現実に攻撃に使われていたことが確認されたのだ。 【次ページ】パッチだけでは足りない…金融庁要請「9項目」は機能したか