PHPの重大脆弱性「PHP2Shell」に保険業界はどう対応したか 東京海上日動・第一フロンティア生命などの停止・復旧状況を比較
Webシステムで広く使われるプログラミング言語「PHP」に重大な脆弱性が見つかり、2026年10月21日に修正版が公開された。保険業界でも、ホームページや契約者向けサービスの予防的な停止が相次いだ。一方、停止したサービスの範囲や再開までの対応は各社で異なる。10月23日午前までに確認できた公式発表を基に、保険会社・関連団体の対応状況を比較し、契約者や代理店が確認しておきたい点を整理する。
目次
PHP2Shellとは何か 外部からコードを実行されるおそれ
2026年10月21日、PHPの開発元であるThe PHP Groupは、2件の重大な脆弱性に対応した修正版を公開した。
脆弱性は「CVE-2026-109618」と「CVE-2026-109619」で、両者は「PHP2Shell」と呼ばれている。
いずれもPHPの内部処理に関わる問題で、悪用された場合、認証されていない第三者によってPHPの実行プロセスの権限で任意のコードを実行されるおそれがある。
開発元が公表した修正版は、PHP 8.2.35、8.3.36、8.4.27、8.5.12だ。
情報処理推進機構（IPA）は10月22日、修正版への更新を呼びかけるとともに、更新が難しい場合にはアクセス制限やサービスの一時停止を含めた対応を検討するよう求めた。
JPCERT/CCも同日、修正版の適用だけでなく、不正なアクセスや侵害の有無について調査することを推奨している。
重要なのは、PHPの脆弱性が公表されたことと、PHPを利用するすべてのWebサイトで不正アクセスや情報漏えいが発生したことは同じではないという点だ。
実際のリスクは、利用しているPHPのバージョン、実行環境、適用済みの修正などによって異なる。また、予防的なサービス停止は、被害の発生を意味するものではない。
今回の保険会社各社の対応も、この区別を前提に確認する必要がある。
保険会社・関連団体の対応状況を比較
10月23日午前までに確認できた公式発表を整理した。
| 会社・団体 | 公表された対応 | 公表時点の停止・復旧状況 |
|---|---|---|
| 東京海上日動 | ホームページを予防的に一時停止 | 10月22日夜にホームページ再開。一部の申込・予約サービスは再開作業中 |
| 第一フロンティア生命 | ホームページを一時停止し、修正パッチを適用 | 公式ホームページは復旧。10月22日17時10分時点でLINE公式アカウントの各種メニューは利用不可 |
| タイズ少額短期保険 | 契約者マイページの緊急メンテナンスを告知 | ログインと全機能の利用停止を案内。確認した告知には復旧完了の記載なし |
| 全国生活協同組合連合会 | PHPの修正プログラム適用に伴う緊急メンテナンスを告知 | 新規加入申込、マイページ、業務専用タブレットによる手続きなどを停止対象として公表 |
| 日本住宅保証検査機構（JIO） | 一部サービスの予防的な順次停止を発表 | 帳票ダウンロード、事業者向け問い合わせフォームなどを停止または停止予定の対象として公表 |
※全国生活協同組合連合会は共済団体、JIOは住宅瑕疵担保責任保険法人であり、生命保険会社・損害保険会社とは制度上の位置付けが異なる。
※本表は確認できた公式発表の比較であり、保険業界全体の対応を網羅したものではない。また、停止・復旧状況は各社の公表時点の情報であり、10月23日現在も停止が続いていることを示すものではない。
東京海上日動：ホームページは再開、一部の申込・予約サービスは再開作業中と公表
東京海上日動は、10月21日に公表されたPHPの重大な脆弱性に関する情報を受け、ホームページを予防的に一時停止した。
同社は、ホームページへの影響の有無を確認し、安全性が確認されたことから、10月22日夜に運営を再開したと公表している。
ただし、すべてのサービスが同時に再開したわけではない。
同社の再開案内では、次の3サービスについて、引き続き再開作業を進めていると説明した。
自動車保険オンライン申込みシステム
代理店相談予約システム
ほけんなんでもポータルサイト「HOKENO」
これは、ホームページの閲覧機能が再開しても、申込や予約などの個別サービスについては別途確認が必要であることを示している。
同社は公表時点で、個人情報の漏えいやシステムへの被害は確認されていないとしている。
なお、同社の公表資料には、PHPの修正パッチを適用したかどうかについての具体的な記載はない。安全性が確認されたとの説明と、パッチ適用の有無は区別して捉える必要がある。
第一フロンティア生命：修正パッチの適用を公表、LINEの一部機能は再開待ち
第一フロンティア生命は、公式ホームページでPHPを使用していることを明らかにしたうえで、セキュリティ上のリスクを踏まえ、10月21日14時20分ごろからホームページを一時停止した。
その後、修正パッチの適用を終え、ホームページが復旧したと公表した。
10月22日17時10分時点の案内では、公式ホームページは復旧している一方、LINE公式アカウントで提供する各種メニューについては、引き続き利用できない状態としていた。
同社は、不正アクセスおよびそれに伴う情報漏えい等の被害について、公表時点では確認されていないとしている。
今回確認した保険会社の告知の中では、停止開始時刻と修正パッチの適用を明示し、ホームページの復旧後に残っている利用制限も案内している点が特徴的だ。
ただし、LINE公式アカウントのメニューが利用できなかった原因や技術的な仕組みについては、公表資料から確認できない。LINEのシステム自体に今回の脆弱性があったと解釈すべきではない。
出典：第一フロンティア生命「公式ホームページメンテナンスについて」
タイズ少額短期保険：契約者マイページの停止と代替窓口を案内
タイズ少額短期保険は10月21日、PHPの重大な脆弱性への予防措置として、契約者マイページの緊急メンテナンスを実施すると発表した。
同社の告知では、10月21日深夜から復旧までを停止予定期間とし、停止中は契約者マイページへのログインと、すべての機能が利用できなくなると説明した。
一方、契約内容の確認などについては、業務部の電話窓口で対応すると案内している。
同社は、今回の対応について、自社システム固有の不具合ではなく、PHPの脆弱性に伴う予防措置であることも説明した。
契約者向けWebサービスを一時停止する場合、利用できなくなる機能を伝えるだけでなく、契約者が必要な手続きをどう進めればよいかを示すことも重要になる。
なお、確認できた10月21日付の告知には復旧完了の記載がない。ただし、それだけをもって、10月23日現在もサービスが停止しているとは判断できない。
出典：タイズ少額短期保険「契約者マイページ 緊急メンテナンス実施のお知らせ」
共済では新規加入や変更手続きにも影響
全国生活協同組合連合会は、インターネットサービスに使用するPHPに重大な脆弱性が見つかったことを受け、10月21日19時から緊急メンテナンスを実施すると発表した。
公表された停止対象は、新規加入申込サービス、マイページ、QRコードやSMSによる各種手続き、業務専用タブレットによる申込・変更手続き、申込書作成サービスなど多岐にわたる。
また、新型火災共済のインターネット請求窓口も対象に含まれている。
同連合会は、修正プログラムを適用し、安全の確認が取れ次第、サービスを再開すると案内した。
公表時点では、本件による不正アクセスや情報漏えいは確認されていないとしている。
この事例では、一般利用者が使用するオンラインサービスに加え、申込や変更に使う業務用のサービスも停止対象となっている。
ただし、インターネット請求窓口が停止対象になったことをもって、共済金の請求受付全体が停止したと判断することはできない。
JIO：住宅関連事業者向けの一部機能を予防的に停止
住宅瑕疵担保責任保険法人である日本住宅保証検査機構（JIO）も、10月22日、PHPの脆弱性への対応を公表した。
同社は、同日17時30分から一部のサイトおよびサービスを順次停止すると説明した。
停止または停止予定の対象として挙げたのは、ホームページ上の帳票ダウンロード、素材ダウンロード、事業者向け問い合わせフォーム、JIO友の会WEB申込みなどである。
同社は、公表時点において、本件に起因する不正アクセスや改ざん等の被害は確認されていないとしている。
今回の公表からは、保険関連業務におけるPHPの脆弱性対応が、一般の契約者向けサービスだけでなく、事業者向けの帳票取得や問い合わせ機能にも及んだことが分かる。
なお、列挙されたすべてのサービスについて、同じ時刻に停止が完了したと確認できるわけではない。
各社の対応から考える、代理店・募集人が確認したい三つのこと
今回の各社の公表情報は、保険代理店や募集人にとっても確認すべき事項を示している。
1．ホームページの再開と、業務システムの再開を分けて確認する
保険会社のホームページが再開していても、申込、予約、変更などの個別サービスが利用できるとは限らない。
東京海上日動や第一フロンティア生命の公表では、ホームページの再開後も、一部サービスの利用制限が残っていた。
代理店が顧客にオンライン手続きを案内する際には、保険会社のホームページが閲覧できるかどうかだけでなく、実際に使用するサービスの稼働状況を確認したい。
2．停止中の代替手段と顧客への案内を確認する
タイズ少額短期保険は、契約者マイページの停止を告知するとともに、契約内容の確認に対応する電話窓口を案内した。
一方、停止したサービスの種類によって、代替手段の必要性も異なる。
特に、契約の申込み、契約内容の変更、事故・請求に関連する手続きについては、通常のオンラインサービスが利用できない場合に、どの窓口や方法で対応できるかを確認しておく必要がある。
ただし、代替手段が案内されていることと、通常と同じ内容の手続きがすべて利用できることは同じではない。対応可能な範囲の確認も欠かせない。
3．修正パッチの適用とサービスの再開を区別する
今回の脆弱性について、The PHP Groupは修正版への更新を強く推奨している。
第一フロンティア生命は修正パッチの適用を明示した。一方、東京海上日動は安全性を確認してホームページを再開したと説明しているが、公表資料上は具体的なパッチの適用状況まで確認できない。
もっとも、パッチの適用状況を公表していないことが、適用していないことを意味するわけではない。
利用者向けの復旧告知と、システム管理上の技術的な対応状況は、分けて捉える必要がある。
PHP2Shellへの対応が示した、保険業務の継続という課題
今回のPHP2Shellは、保険業界だけに発生した問題ではない。
しかし、保険会社や関連団体が相次いで予防的なサービス停止を公表したことで、保険業務を支えるWebサービスの多様さが改めて浮かび上がった。
その対象は、一般向けホームページだけでなく、新規申込、相談予約、契約者向けサービス、共済の変更手続き、事業者向けの帳票取得などに及んでいる。
一方、今回確認できた公表資料だけでは、各社の内部システムの構成、停止判断に至る具体的な技術的条件、修正パッチの適用範囲などを横並びに比較することはできない。
また、公式発表を行っていない保険会社について、脆弱性の影響がなかった、あるいは対応を実施していないと判断することもできない。
今回の事例から考えたいのは、予防的な停止を行うことの是非だけではない。
重大な脆弱性が公表された際に、影響を受けるサービスを把握し、必要な安全対策を実施しながら、顧客や代理店に利用可能な手続きを正確に伝えられるか。
システムの安全性確保と保険業務の継続をどう両立するかという点は、今後も保険会社と代理店の双方に関わる実務上の課題となる。
情報確認日：2026年10月23日午前
技術情報の主な一次資料
各社・関連団体の公式発表は本文中にリンクを記載した。
※本記事は公開資料に基づく比較であり、各社への個別取材や内部システムの検証を実施したものではない。停止・復旧状況は公表後に変更される場合がある。
本記事はINSURANCE JOURNAL編集部による解説・分析です。制度・商品の詳細は公式発表をご確認ください。
