【FF14】新規ログイン停止の理由は「PHP」の欠陥。今週の出来事と、ヒカセンが今やっておくこと

新規ログイン停止の理由は「PHP」の欠陥

10月22日（木）1時38分、ロドストに「全ワールド 新規ログイン一時停止のお知らせ」が出ました。理由は「世界的に影響が確認されているプログラム言語『PHP』に関する重大な脆弱性に対応するため」で、パッチサーバーを止めたため新しくログインできない状態になっています。

この記事は10月22日午前時点の情報です。復旧はロドストの告知をご確認ください。なお掲示板では「PC からは入れないが PS5 からはログインできた」という報告が出ています（PS5 が接続するパッチサーバーが別経路とみられます）。公式の案内はまだ無いので、正式な復旧告知をお待ちください。

PHP とは何か。何が起きたか

PHP はウェブサイトの裏側で動く言語で、サーバー側の言語が分かるサイトの約7割で使われています（W3Techs の統計を引いた ITmedia の報道より）。10月21日23時ごろ、ログインしていない相手にサーバー上で好きなプログラムを動かされる欠陥2件（CVE-2026-109618／109619）の修正版が公開されました。開発元は「完全な回避策は無く、更新だけが安全な選択」と明記しています。

公開前から攻撃の試みが観測されていたため、国内では21日午後から予防的な停止が相次ぎ、piyolog の集計では22日未明までに211組織にのぼりました。BASE、サイゲームス、さくらインターネット、エックスサーバーなどが対応し、政府も「今夜中の対応」を呼びかけています。FF14 のパッチサーバー停止も、この流れの中にあります。

同じ週に、HTTPS の「鍵」でも問題

HTTPS の鍵マークは「認証局」が発行する証明書で成り立っています。インドの認証局 eMudhra が発行した中間証明書8枚の秘密鍵が、本来は116桁ほどの乱数であるべきところ実質1〜255の小さな数字で、公開情報から誰でも復元できる状態が2025年4月から続いていました。10月18日の通報から数時間で Chrome と Firefox が遮断し、Apple と Microsoft も続きました。悪用された証拠は確認されていません。

このほか、Node.js（サーバー側で JavaScript を動かす環境）と GitLab（自社運用のソースコード管理ツール）にも修正版が出ています。いずれも運営側が更新するもので、プレイヤーがすることはありません。

ヒカセンがやること

スクエニは10月19日に「[重要] 不正アクセスとアカウント管理に関するご注意」を出しています。狙われているのは「他社サービスで流出したと思われる ID／パスワードの組み合わせ」で、スクエニから漏れたとは書かれていません。つまり危ないのは「使い回し」です。

・他のサービスと同じパスワード、生年月日や同じ文字の繰り返しのような推測しやすいパスワードを使っていたら、変えてください。
・ワンタイムパスワードを設定しましょう。無料の認証アプリ（Google Authenticator 等）で使えます。
・認証アプリを使う人は、機種変更やアプリ削除の前に「強制解除用パスワード」を控えてください（9月16日の告知）。控えずに消すと、全サービスにログインできなくなります。
・「ログイン制限の解除」を名乗るメールが来ても、リンクは踏まず、公式サイトを自分で開いて手続きを。
・ブラウザと OS を最新にしておきましょう。認証局の遮断は更新で届きます。
・自分で WordPress などを運用している人は、PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12）に。WordPress の更新では直りません。レンタルサーバーなら各社の告知を確認してください。

ヤーン速報について

ヤーン速報は PHP も WordPress も使っていないため、今回の PHP の件は関係ありません。認証局の件と Node.js の件は対象だったので、それぞれ確認のうえ更新を済ませています。いつもどおりご利用ください。

おわりに

今週の出来事に共通するのは、「アプリの作りが良くても、土台の言語や鍵に穴があれば防げない」ということでした。開発元の言葉を借りれば、更新が唯一の完全な対策です。私たちもヒカセンのみなさんも、やることは同じです。パスワードを使い回さず、ソフトを更新する。地味ですが、それが一番効きます。

出典（一次情報）

・ロドスト「全ワールド 新規ログイン一時停止のお知らせ(10/22)」 https://jp.finalfantasyxiv.com/lodestone/news/detail/d9b4c1cf9d163fd1e4133bf615e7ed7e80b4aff2
・ロドスト「[重要] 不正アクセスとアカウント管理に関するご注意」（10/19） https://jp.finalfantasyxiv.com/lodestone/news/detail/7a3ea81bad4e15c107251cfe644209dcc2cd4e08
・スクエニ「ワンタイムパスワードとは」 https://www.jp.square-enix.com/account/otp/
・php.net 2026年10月の告知 https://www.php.net/archive/2026.php
・IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」 https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
・WordPress.org「Critical PHP Security Release」 https://wordpress.org/news/2026/10/critical-php-security-release/
・piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」 https://piyolog.hatenadiary.jp/entry/2026/10/21/174516
・ITmedia「PHPに『緊急』レベルの脆弱性2件」 https://www.itmedia.co.jp/news/article/2610/21/2000002446/
・eMudhra 事案のまとめサイト https://emudhra.we-have-a-problem.com/
・Firefox 158.0.1 セキュリティアドバイザリ https://www.mozilla.org/en-US/security/advisories/mfsa2026-111/
・Node.js「October 2026 Security Releases」 https://nodejs.org/en/blog/vulnerability/october-2026-security-releases