ソフトバンク、PHP脆弱性対応で緊急速報メールを停止　緊急地震速報・津波警報など26日まで受信できず

ソフトバンク株式会社は2026年10月23日、PHPの脆弱性に対応する緊急メンテナンスのため、携帯電話向け「緊急速報メール」の配信を一時停止していると発表しました。対象は「ソフトバンク」「ワイモバイル（Y!mobile）」「LINEMO」の利用者です。停止期間中は、緊急地震速報や津波警報、災害・避難情報を同サービス経由では受信できません。

停止は10月23日午前6時47分に始まり、メンテナンスは10月26日（月）に完了する予定です。ソフトバンクは「Yahoo!防災速報」など、代替となる防災情報サービスの利用を呼びかけています。

ソフトバンクの緊急速報メール停止のサマリー

• 公表日：2026年10月23日
• 事業者：ソフトバンク株式会社
• 対象ブランド：ソフトバンク、ワイモバイル、LINEMO
• 対象サービス：緊急速報メール（緊急地震速報、津波警報、災害・避難情報）
• 停止開始：10月23日午前6時47分
• メンテナンス完了予定：10月26日（月）。完了後に改めて案内するとしています
• 停止理由：PHPの脆弱性への対応に伴う緊急メンテナンス
• 代替手段：Yahoo!防災速報など、緊急情報を通知する別サービスの利用を案内
• PHPの技術的背景：10月21日に重大なリモートコード実行（RCE）脆弱性2件が修正されています。ただし、ソフトバンクは今回の停止に関係するCVE番号やシステム構成を明示していません

緊急地震速報、津波警報、自治体の避難情報が受信できない状態に

緊急速報メールは、気象庁が発表する緊急地震速報や津波警報、国・地方公共団体が発信する災害・避難情報などを、対象地域の携帯端末に一斉配信する仕組みです。通常のメールやアプリ通知とは異なり、対象エリアへブロードキャストで情報を届ける方式を使用します。ソフトバンクは、通常時は回線混雑の影響を受けずに無料で受信できることをサービスの特徴として案内しています。

今回の配信停止は、こうした防災情報の受信経路が利用できなくなるというものです。災害の発生や自治体の情報発信自体が止まるという発表ではありません。また、緊急速報メールの配信停止だけをもって、携帯電話の音声通話、一般のSMSやモバイルデータ通信まで停止したと解釈することはできません。

特に、地震の強い揺れや津波、避難指示などを端末の専用警告音で把握している利用者は、停止期間中に別の情報取得手段を確保しておく必要があります。

背景にあるPHPの重大脆弱性「PHP2Shell」とは

今回のメンテナンスと同じ時期の10月21日、PHPの開発チームは、PHPランタイム本体に存在する重大な脆弱性2件「CVE-2026-109618」「CVE-2026-109619」を修正しました。両脆弱性は「PHP2Shell」と呼ばれ、いずれもCVSS v4.0で9.2（Critical）と評価されています。

PHPはWebサイトや業務システムのサーバー側で使用されるプログラミング言語です。今回の2件は、個々のWebアプリケーションのログイン機能ではなく、PHPがリクエストを処理する際の内部メモリ管理に関係します。

PHP公式は、Apacheのmod_php環境で、アプリケーションのコードが実行される前に認証なしの攻撃が成立することを実証したと説明しています。PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、PHPを使用してWebリクエストを処理する構成も修正対象です。

攻撃が成立すると、サーバー上で攻撃者のコードが実行されるおそれがあります。権限やシステム構成によっては、機密情報の参照、ファイルの改ざん、他システムへの侵入の足掛かり、サービスの可用性低下などにつながり得ます。ただし、これはPHP脆弱性の一般的なリスクであり、ソフトバンクの緊急速報メール配信基盤で実際にこれらの被害が起きたという意味ではありません。

PHP開発チームが公開した修正版は次の通りです。

PHP 8.1以前はPHPプロジェクトによる通常のサポートが終了しています。Linuxディストリビューションや商用保守サービスなどが、独自に修正をバックポートしている場合は、その提供元の情報で判断します。WAFによる攻撃通信の遮断などは一時的なリスク低減策ですが、PHP本体の修正を代替するものではありません。

脆弱性の技術的な仕組みと対応状況については、セキュリティ対策LabのPHP2Shell（CVE-2026-109618／CVE-2026-109619）解説記事でも整理しています。

利用者は「Yahoo!防災速報」など代替の通知経路を確認

ソフトバンクは停止期間中、「Yahoo!防災速報」アプリなどを利用するよう案内しています。利用者は、アプリのインストール・通知許可・位置情報や通知対象地域の設定を確認するほか、気象庁や自治体の公式サイト、テレビ・ラジオなども併用できます。

ただし、防災アプリのプッシュ通知は、通常、インターネット通信や端末の通知設定などに依存します。携帯電話の緊急速報メールと同じ方式ではないため、回線混雑時の到達性や通知タイミングまで同等と考えるべきではありません。代替手段を複数確保し、各自治体が案内する防災情報の取得方法も確認することが現実的です。

情報システム部門が確認したいPHP更新と可用性対策

今回の停止は、深刻な脆弱性への対応がWebサイトだけでなく、防災情報の伝達という重要サービスの可用性にも影響することを示しています。PHPを運用する組織では、一般公開サイトだけでなく、通知・受付・会員管理など周辺システムに組み込まれたPHPの稼働状況も確認する必要があります。

管理者は、実際にWebリクエストを処理するPHPのバージョンと実行方式を調べ、修正済みビルドへの更新、ワーカープロセスの再起動、機能試験を実施する必要があります。可用性が重要なサービスでは、修正適用までの一時停止判断、利用者への代替手段の案内、再開条件、担当部門間の連絡方法を事前に定めておくことが考えられます。

出典

• メンテナンスに伴う緊急速報メールの配信停止について（PHPの脆弱性に対する対応）－ソフトバンク株式会社（2026年10月23日）
• （更新）PHPの脆弱性への対応に伴う公式サイトのメンテナンスについて－ソフトバンク株式会社（2026年10月22日）
• 緊急速報メール（緊急地震速報・津波警報・災害避難情報）－ソフトバンク
• Security advisory: Critical remote code execution vulnerabilities, update now－PHP開発チーム（2026年10月21日）
• PHP2Shell（CVE-2026-109618／CVE-2026-109619）について－セキュリティ対策Lab