NTTドコモは、配信を止めていた緊急速報「エリアメール」の一部サービスと「どこでも災害・避難情報」について、2026年10月25日午後8時1分に配信を再開したと発表した。PHPの脆弱性に対応する予防的なセキュリティ対応として、配信を停止して緊急メンテナンスを行っていた。
ソフトバンクも、PHPの脆弱性への対応で緊急速報メールの配信を停止していた。同社は10月25日午前9時25分に、緊急地震速報と津波警報の配信を再開した。一方で、国や地方公共団体が配信する災害・避難情報は、引き続き停止しているとしている。
ドコモは10月25日夜に配信を再開
ドコモのお知らせは10月23日付で掲載され、その後、再開を伝える内容に更新された。それによると、PHPの脆弱性への予防的なセキュリティ対応として、緊急メンテナンスを実施していた。対象は、緊急速報「エリアメール」の一部サービスと「どこでも災害・避難情報」の配信である。
メンテナンスが完了し、10月25日（日）午後8時1分に配信を再開した。ドコモは、利用者に迷惑をかけたことをわびている。どの脆弱性に対応したのかや、エリアメールのうちどのサービスを止めていたのかは、お知らせには書かれていない。
ソフトバンクは緊急地震速報と津波警報から再開
ソフトバンクのお知らせによると、メンテナンスは10月23日（金）午前6時47分に始まった。10月25日午前9時25分には、メンテナンスの一部が完了した。これにより、気象庁が配信する緊急地震速報と津波警報の配信を再開している。
一方、10月26日午後3時半時点のお知らせでは、国や地方公共団体が配信する災害・避難情報の配信停止が続いている。同社はメンテナンス中、「Yahoo!防災速報」アプリなどで避難情報を受け取るよう呼びかけている。メンテナンスは10月26日（月）に完了する予定で、完了しだい知らせるとしている。
背景にあるPHPの重大な脆弱性
ドコモとソフトバンクは、対応したPHPの脆弱性を特定して示していない。PHPの開発チームは10月21日に、認証なしでリモートコード実行が可能になる重大な脆弱性2件を公表している。CVE-2026-109618とCVE-2026-109619で、修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35である。
PHPの開発チームによると、Webのリクエストを処理するすべてのPHP環境にリスクがある。PHP-FPMやApacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが含まれ、特にmod_phpのリスクが最も高いという。PHP 8.1以前は開発チームの更新対象外で、7.4、8.0、8.1には最小限の修正パッチが提供された。
企業への示唆
今回の件は、Webの基盤で使われるソフトウェアの脆弱性が、社会インフラに近いサービスの停止にもつながることを示した。自社でPHPを使っている場合は、PHP 8.5.12、8.4.27、8.3.36、8.2.35への更新状況を確認したい。サポートが終わった8.1以前を使っている場合は、移行の計画もあわせて見直す必要がある。
防災や事業継続の面では、通信事業者の緊急速報だけに頼らない連絡手段を用意しておきたい。今回のように、緊急速報メールの一部が数日間届かないこともありうる。従業員の安否確認や避難の連絡に使う手段が、複数の経路を持っているかを点検しておくとよい。
ITトレンドで安否確認システムについてチェック！[企業向け安否確認アプリ10選！口コミから見る人気・満足度]
PHPの脆弱性はこちらもチェック！[PHPに認証不要でリモートコード実行の脆弱性2件、修正版を公開——PHP-FPMやmod_phpなどWeb向け環境が対象、IPAは事前の棚卸しを要請]
まとめ
NTTドコモは、PHPの脆弱性への予防的な対応で停止していた「エリアメール」の一部サービスと「どこでも災害・避難情報」の配信を、10月25日午後8時1分に再開した。ソフトバンクは緊急地震速報と津波警報を再開したものの、災害・避難情報の配信停止が続いている。同社は10月26日にメンテナンスを終える予定だ。
PHPは10月21日に、認証なしでリモートコード実行が可能になる重大な脆弱性2件を修正している。企業は自社のPHP環境の更新状況を確かめるとともに、緊急時の連絡手段が1つの経路に偏っていないかを点検しておきたい。
