プログラミング言語「PHP」に発見された重大な脆弱性の影響が、オンラインゲームの運営にも広がっています。
10月21日夜から『ウマ娘 プリティーダービー』『グランブルーファンタジー』など多数のゲームが緊急メンテナンスを実施した一方、長年にわたってサービスを続けてきた『ワールドクエスト』『僕の魔界を救って！』の2作品は、脆弱性への対応が困難としてサービス終了を発表しました。
深刻度9.2の脆弱性「PHP2Shell」、国内でも緊急対応相次ぐ
今回問題となったのは、Webサイトやオンラインサービスなどの開発に広く使われているプログラミング言語「PHP」の重大な脆弱性です。
PHPの開発チームは現地時間10月21日、「CVE-2026-109618」「CVE-2026-109619」の2件の脆弱性に対する修正版を公開しました。
いずれも深刻度を示す「CVSS v4.0」で9.2と評価されており、「PHP2Shell（php2shell）」とも呼ばれています。攻撃者が認証なしで外部から任意のコードを実行できる恐れがあり、サーバーの乗っ取りや機密情報の流出などにつながる危険性があります。
PHP公式サイトでは、修正済みバージョンとして「8.2.35」「8.3.36」「8.4.27」「8.5.12」を公開。現在サポートされていない古いPHPも影響を受ける一方、PHP開発チームからはそれらのバージョン向けの修正版が提供されないため、対応には新しい環境への移行などが必要となります。
日本国内でも、情報処理推進機構（IPA）や国家サイバー統括室が注意喚起を実施。高市早苗首相も10月21日に自身のXアカウントで異例の呼びかけを行い、修正プログラムの速やかな適用が困難な場合には、Webサイトなどの一時停止も有効な対策になると説明しました。
こうした事態を受け、ゲームだけでなく、通販サイトや各種Webサービス、行政機関のWebサイトなどでも緊急メンテナンスが相次ぐこととなりました。
なお、これらのメンテナンスは脆弱性を悪用した攻撃を受けたことを必ずしも意味するものではなく、被害を未然に防ぐための措置も含まれています。
『ワールドクエスト』が10月21日に即日サービス終了
その影響を大きく受けた作品のひとつが、本格旅行ゲーム『ワールドクエスト』です。
本作は2011年にGREEでサービスを開始し、モバゲーなどでも展開された作品。現実に存在する100以上の国や1,000を超える都市を舞台に、さまざまな交通手段を利用して世界各地を旅することができました。
2019年5月に一度サービスを終了したものの、コロナ禍で海外旅行が難しくなった人々にゲーム内での旅行を楽しんでもらおうと、2020年5月に復活していたという経緯もあります。
しかし、10月21日、運営は公式Xを通じて同日限りでのサービス終了を発表しました。
理由として挙げられたのは、ゲームのサーバーで使用しているPHPに重大な脆弱性が見つかったことです。古い仕組みの上で動作しているため十分な対策を取ることができず、利用者の情報を守ることを優先して終了を決断したと説明しています。
突然の発表となったことについても謝罪しており、長年続いてきたゲームが、事前の終了告知期間も設けられないまま幕を下ろすこととなりました。
『僕の魔界を救って！』も10年以上の歴史に幕
さらに、10月22日には、JAGSが手がけるスマートフォン向けゲーム『僕の魔界を救って！』もサービス終了を発表しました。
本作は2011年に登場した、放置型クラウド式ファンタジーシミュレーションRPGです。人間によって奪われた魔界を取り戻すため、プレイヤーが魔王となって魔物たちを率い、さまざまな地域へ遠征させるゲームとして長年親しまれてきました。
しかし、公式Xアカウントは10月22日、深刻なPHPの脆弱性に対する対応が困難となったため、サービスを終了すると発表。突然の知らせについて謝罪するとともに、10年以上にわたってプレイしてきたユーザーへ感謝を伝えました。
本作も2011年から長期間にわたって運営されてきたタイトルであり、今回のような基盤技術の重大な問題に直面した際、古い運用環境からの更新や移行が大きな課題となり得ることを示しています。
なお、公式Xの終了告知では脆弱性への対応が困難だったことが理由として説明されていますが、具体的なサーバー構成や、どのような技術的問題が更新を妨げたのかについては明らかになっていません。
『ウマ娘』『グラブル』などは緊急メンテナンス後に復旧
一方、大手ゲームタイトルでは、サービスを一時停止して安全対策を実施し、その後再開する動きもみられました。
Cygamesが運営する『ウマ娘 プリティーダービー』『グランブルーファンタジー』『Shadowverse: Worlds Beyond』『プリンセスコネクト！Re』などは、10月21日夜から相次いで緊急メンテナンスを実施しています。
その後、『Shadowverse: Worlds Beyond』は10月22日未明にメンテナンス終了を告知。『プリンセスコネクト！Re』は同日午前2時10分、『ウマ娘 プリティーダービー』は午前2時30分にメンテナンスを終了しました。
『グランブルーファンタジー』も午前7時にメンテナンスを終了しましたが、この時点ではDMM版およびGREE版が対象外となっており、プラットフォームによって復旧状況に違いが生じていました。
これらのタイトルでは、緊急メンテナンスの告知時点において、今回の脆弱性を悪用した被害やユーザーデータの流出は確認されていないと案内しています。
サービス終了の引き金となった脆弱性、長期運営タイトルに突きつけられた課題
今回の一連の動きで浮き彫りとなったのは、オンラインゲームの長期運営において、ゲームの内容だけでなく、それを支えるサーバーやソフトウェアの維持・更新も欠かせないという点です。
今回のように基盤となるプログラミング言語そのものに重大な脆弱性が発見された場合、ゲーム側の一部機能を修正するだけでは十分な安全性を確保できない可能性があります。
特に、10年以上にわたって運営されてきた作品では、当時の環境を前提としたシステムが残されていることも考えられます。新しいバージョンへの移行には、既存のプログラムの改修や動作確認など、多くの作業が必要になる場合があります。
もちろん、ゲームの規模だけで対応の可否が決まるわけではありません。しかし、今回サービス終了を決断した2作品は、いずれも長い歴史を持つタイトルでした。
突然遊べなくなることはプレイヤーにとって残念な出来事ですが、ユーザー情報の保護を優先し、安全なサービスの継続が困難であると判断した運営側の事情も無視できません。
今回の出来事は、長く続くオンラインゲームを維持し、将来にわたってプレイできる状態を保つことの難しさを、改めて示すものとなりました。
