【2026年10月最新】PHPの脆弱性で緊急速報メールが一時停止｜ソフトバンクは10月26日に復旧予定、ドコモはJアラート等が対象

結論：PHPの重大な脆弱性への対応で、ソフトバンク（ワイモバイル・LINEMO含む）は2026年10月23日6時47分から緊急速報メールの配信を全面停止し、10月26日（月）の完了を予定しています。ドコモも同日夜からエリアメールの一部（Jアラート・河川洪水予報・自治体の災害/避難情報）を停止中で、再開時期は未定です。ドコモは気象庁の緊急地震速報・津波警報は継続しており、停止範囲が2社で違う点に注意が必要です。

キャリア	緊急速報メールの状況（2026年10月25日時点）
ソフトバンクワイモバイル／LINEMO	全面停止。10月23日6時47分から。緊急地震速報・津波警報も届かない。10月26日（月）に完了予定
ドコモ	一部停止。10月23日夜から。Jアラート・河川洪水予報・自治体の災害/避難情報と「どこでも災害・避難情報」が対象。緊急地震速報・津波警報は継続。再開時期は未定
au（KDDI）	10月25日時点で停止の発表は確認できていない
楽天モバイル	10月25日時点で停止の発表は確認できていない

何が止まり、何が届くのか

同じ「緊急速報メール」でも、止まっている中身がソフトバンクとドコモで違います。情報の出どころ（気象庁か、国・自治体か）で分かれています。

警報の種類	配信元	ソフトバンク系	ドコモ
緊急地震速報	気象庁	× 届かない	○ 届く
津波警報	気象庁	× 届かない	○ 届く
Jアラート（弾道ミサイル等）	総務省消防庁	× 届かない	× 届かない
指定河川洪水予報	国土交通省	× 届かない	× 届かない
災害・避難情報	地方公共団体	× 届かない	× 届かない
どこでも災害・避難情報（SMS）	ドコモ独自	—	× 停止中

熊本市など一部の自治体は、住民向けに注意を呼びかけています。自治体の避難情報は2社とも止まっているため、防災無線・テレビ・自治体アプリでの確認が重要になります。

原因になったPHPの脆弱性「PHP2Shell」

原因はキャリア固有の障害ではなく、Webシステムで広く使われるプログラミング言語PHPの脆弱性です。各社は「予防的な対応」として自主的にシステムを止めました。

項目	内容
識別番号	CVE-2026-109618／CVE-2026-109619（通称 PHP2Shell）
深刻度	CVSS v4.0 で 9.2（Critical）
内容	認証なしでのリモートコード実行。メモリ上のパスワードやトークンが漏れる可能性も報告されている
影響バージョン	8.5.11以下／8.4.26以下／8.3.35以下／8.2.34以下。PHP 7.4・8.0・8.1は公式の修正版なし
修正版	8.5.12／8.4.27／8.3.36／8.2.35（2026年10月21日公開）
設定での回避	不可。PHPは「設定変更だけでは緩和できない」としている
悪用状況	セキュリティ企業がハニーポットで実際の攻撃を観測。PoC（実証コード）も流通

修正版を入れるだけでなく、Apache・PHP-FPMなど常駐プロセスの再起動が必要です。この「止めて入れ替えて再起動する」工程が、各社の緊急メンテナンスの正体です。

通信以外にも影響が広がった

止まったのはキャリアだけではありません。PHPは官公庁や金融、Webサービスの土台に広く入っているため、同じ時期に多くのサービスが予防的に停止しました。

分野	主な動き
通信	ソフトバンク・ドコモの緊急速報メール。ドコモは自社Webサイトも一時停止
レンタルサーバー	エックスサーバーが10月21日16時に公式サイト・管理画面を停止（利用者サイトとメールは継続）
Webサービス	楽天市場など一部サービスが10月22日午前も緊急メンテを継続
その他	保育業務システム（コドモン）が全サービスを緊急停止、金融機関も対応を告知

届かない間の代替手段

緊急速報メールは端末の設定に関係なく基地局から一斉配信される仕組みで、利用者側の操作では復旧できません。別の経路を用意しておくのが現実的な対処です。

防災アプリ：Yahoo!防災速報、NHK ニュース・防災、自治体の公式アプリ。通知を許可しておく
テレビ・ラジオ：停電時はラジオ（スマホのラジオアプリは通信が必要なため電池と回線に依存）
家族間の連絡手段：安否確認の方法を事前に1つ決めておく
複数キャリアの併用：デュアルSIMで系統の違う回線を持つと、片方が止まっても受信できる可能性がある

10月16日の「地震速報が届かない」障害とは別件

ドコモは10月16日にも緊急地震速報のエリアメールが配信されない障害を起こしていますが、今回とは原因が違います。

項目	10月16日の不配	10月23日からの停止
原因	従来と形式が異なるデータを受信し、システムが正しく認識できなかった	PHPの脆弱性への予防的対応（自主的な停止）
対象	緊急地震速報（カムチャツカ半島付近の地震）	Jアラート・河川洪水予報・自治体の災害/避難情報
状態	10月17日19時04分に対応完了	継続中（再開時期は未定）

自分のサイトやサーバーはどうすべきか

共用レンタルサーバーを使っている場合、PHPの入れ替えはサーバー会社側が実施します。利用者がPHPのバージョンを急いで変更する必要はありません。

環境	やること
共用レンタルサーバー	サーバー会社の告知を確認するだけでよい場合が多い。エックスサーバーはPHP 5.6〜8.5への適用を10月22日中に完了し、「緊急のバージョン変更は不要」と案内している
VPS・自社サーバー	自分で対応が必要。修正版へ更新し、Apache・PHP-FPMを再起動する
PHP 8.1以前を使用中	公式の修正版がない。サーバー会社の独自修正の有無を確認し、8.3以上への移行を検討する

よくある質問

Q. ソフトバンクの緊急速報メールはいつ戻りますか？
A. 10月26日（月）にメンテナンス完了予定で、完了後に改めて案内されます。時刻は公表されていません。

Q. ドコモで地震の速報は届きますか？
A. 気象庁の緊急地震速報と津波警報は継続配信されています。止まっているのはJアラートや自治体の避難情報です。

Q. 自分の端末の設定が原因ですか？
A. いいえ。ネットワーク側の停止であり、端末の設定を変えても受信できません。

Q. 情報漏えいは起きたのですか？
A. 各社は予防的な対応と説明しており、2026年10月25日時点でキャリアからの情報漏えいの発表は確認できていません。

まとめ

PHPの脆弱性という通信とは別の層の問題が、緊急速報メールという生活インフラを数日間止めました。ソフトバンク系は緊急地震速報まで含めて全面停止、ドコモは一部停止という違いがあるため、自分の回線がどちらかを把握しておくことが先です。

復旧までは防災アプリなど別経路を併用し、復旧後も通知設定を残しておくと次の障害に備えられます。

出典：ソフトバンク「メンテナンスに伴う緊急速報メールの配信停止について」（2026年10月23日）https://www.softbank.jp/corp/news/info/2026/20261023_01/ ／ケータイ Watch「ソフトバンク『緊急速報メール』一時停止、PHP脆弱性で――ワイモバイル・LINEMOも」（2026年10月23日）https://k-tai.watch.impress.co.jp/docs/news/2150680.html ／ケータイ Watch「ドコモ『エリアメール』がPHP対応で一部停止、Jアラートや避難情報対象・地震速報は継続」（2026年10月23日）https://k-tai.watch.impress.co.jp/docs/news/2150887.html ／エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日）https://www.xserver.ne.jp/news_detail.php?view_id=19734 ／脆弱性の詳細：Help Net Security「PHP2Shell: Critical PHP vulnerabilities patched」（2026年10月21日）https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/ ／CERT-EU「Critical Vulnerabilities in PHP」https://cert.europa.eu/publications/security-advisories/2026-018 ／10月16日の不配の原因：ケータイ Watch https://k-tai.watch.impress.co.jp/docs/news/2149025.html

※本記事は2026年10月25日時点の各社発表・報道をもとに作成したものです。復旧状況は各社の公式告知をご確認ください。