BASEのPHP脆弱性への対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）を受けて、ネットショップ作成サービス「BASE」が全サービスを一時的に止めて行った緊急メンテナンスのことです。結論から言うと、メンテナンスは10月22日8時に完了しており、2026年10月22日16時00分時点で、BASEの公式のお知らせにはショップ運営者に特別な作業をお願いする記載はありません。ショップ側でPHPを更新する必要もありません。

ただ、ショップが約16時間止まっていたので、その間の注文や外部ツールとの連携、お客様への説明など、運営者として見ておきたいことはいくつかあります。この記事は、2026年10月22日16時00分時点のBASEの公式のお知らせとBASEヘルプセンターの内容をもとに整理しています。状況は変わることがあるので、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事、国内各社の動きは10月21日の国内の対応まとめにまとめています。

速報（2026年10月22日16時00分時点・当社調べ）

状況は変わることがあります。最新の情報は公式ページでご確認ください。

BASEが公表していること（10月22日16時00分時点）

要点は、BASEが「利用しているPHPに重大な脆弱性が確認された」と理由をはっきり書いたうえで、全サービスを止めてメンテナンスを行い、翌朝に完了したことです。告知はBASEヘルプセンターの「障害・メンテナンス情報」に掲載されています。

メンテナンスの期間と理由

公式のお知らせ「【重要】緊急メンテナンス完了のお知らせ」によると、メンテナンスの実施期間は2026年10月21日（水）15時50分から10月22日（木）8時までです。理由は「利用しているソフトウェア（PHP）に重大な脆弱性が確認されたことを受け、サービスを安全にご利用いただくために早急な対応が必要と判断し」たためと書かれています。また、「事前にお知らせしていたメンテナンス時間を変更して実施」したこと、急な変更と長時間の停止へのお詫びも添えられています。

告知は「予告」から「完了」に書き換えられた

このお知らせは10月21日の昼に「【重要】緊急メンテナンスに伴い、10月21日（水）15:50 より一時的にサービスが利用できなくなります」という題で出され、22日の朝に「完了のお知らせ」へ書き換えられています。予告の段階では終了を22日7時の予定としていたと報じられていますが（piyologほか）、完了のお知らせでは終了時刻は8時と書かれています。予告の段階の本文は、いまは公式ページで読めません。

止まっていたもの

予告の段階では、ショップページの閲覧と注文、ショップ管理画面、購入者向けの「PAY ID」アプリ、外部のツールとBASEをつなぐ「BASE API」（ほかのシステムが注文や在庫のデータをやりとりするための窓口）まで、ほぼすべてが止まる案内だったと報じられています。つまり、この時間はお客様がショップを見ることも買うこともできず、運営者も管理画面に入れない状態でした。

公式のお知らせに書かれていないこと

完了のお知らせには、お客様の個人情報やクレジットカード情報への影響、メンテナンス中の注文の扱い、ショップ運営者へのお願いについての記載はありません。なお、共同通信の10月21日の報道では、BASEは今回の対応を「予防的措置」とし、不正アクセスや情報漏えいは確認されていないと説明したと伝えられています。これは報道で伝えられた内容で、公式のお知らせの本文にある文言ではない点に注意してください。

そもそも今回のPHPの脆弱性とは

PHPは、Webサイトの裏側で動くプログラムを書くための言語で、WordPressや多くのネットショップの仕組みがこれで作られています。今回見つかった2件の弱点は、条件がそろうと、ログインしていない第三者がサーバーの上で好きなプログラムを動かせてしまう、という深刻なものでした。

修正版のバージョン

PHP公式は10月21日の23時前に、8.5.12・8.4.27・8.3.36・8.2.35を公開しました。8.1以前には公式の修正版は出ていません。また、WordPressやプラグインを更新しても今回の弱点は直りません。PHPそのものを直す必要があるからです。くわしくは解説記事をご覧ください。

多くのサービスが予防的に止まった理由

今回は修正版が出る前に脆弱性の情報が外に漏れ、攻撃の試みも観測されたため、国内でも多くのサービスが「修正を当てるまで止めておく」判断をしました。BASEもその一つです。止まったこと自体は、被害があった印ではなく、被害を防ぐための対応として受け止めるのが自然です。

ショップ運営者がPHPを更新する必要はない

BASEはサーバーやPHPをBASE側が運用するサービスなので、ショップ運営者がPHPを更新したり、バージョンを選んだりする必要はありません。ショップ管理画面にも、PHPのバージョンを選ぶ設定はありません。今回の緊急メンテナンスも、BASE側が行った作業です。

BASEがやることと、ショップ運営者がやること

役割を分けると次のとおりです。運営者がやることは「止まっていた間の影響の確認」と「アカウントを守る設定」の2つにしぼられます。

BASEとは別に自分のサイトを持っている場合

制作の現場では、BASEのショップとは別に、WordPressなどでお店の公式サイトやブログを運営している方がよくいます。そのサイトがレンタルサーバーの上で動いているなら、そちらのPHPは今回の対象で、サーバー会社の対応やPHPのバージョンの確認が必要です。BASEのメンテナンスが終わっても、別のサイトのことは別に確認してください。サーバー会社ごとの動きは国内の対応まとめから各記事をたどれます。

メンテナンス明けにショップ管理画面で確認すること

メンテナンス明けは、いつもの運営の流れにそって、止まっていた前後に変わったことがないかを順番に見ていきます。BASEから特別なお願いは出ていないので、あくまで念のための確認です。

ステップ1｜公式のお知らせとメールを確認する

まず、BASEヘルプセンターの「障害・メンテナンス情報」と、ショップオーナーとして登録しているメールアドレスの受信箱を確認します。新しいお知らせや個別の案内が届いていないかを見ておきましょう。迷惑メールフォルダに入っていることもあります。

ステップ2｜ショップページをスマホとパソコンで開く

お客様と同じ目線で、ショップのトップページ、商品ページ、カートに入れて購入手続きの手前までを確認します。スマホから買うお客様が多いショップは、スマホでの確認を先にするのがおすすめです。表示がおかしいときは、少し時間をおいてから再確認し、それでも直らなければBASEに問い合わせます。

ステップ3｜注文画面で停止前後の注文を見る

管理画面の「注文画面」で、10月21日の昼から夕方にかけての注文と、22日の朝以降の注文を確認します。停止の直前に入った注文が未発送のまま残っていないか、入金待ちの注文がないかを見ておくと安心です。メンテナンス中の注文の扱いについては、公式のお知らせに記載がないので、気になる注文があれば問い合わせで確認してください。

ステップ4｜売上画面をいつもどおり確認する

「売上画面」で売上残高や振込申請の状態を、いつもと同じように確認します。今回のメンテナンスで売上が変わったという公式の発表はありません。ふだん見ている数字と比べて、心あたりのない動きがないかだけ見ておけば十分です。

ステップ5｜外部ツールとの連携を確認する

在庫管理や受注管理、発送のツールをBASEとつないでいる場合は、ツール側で注文の取り込みや在庫の同期が止まっていないかを確認します。メンテナンス中はBASE APIも止まっていたと報じられているので、その時間の分がツール側で遅れていたり、エラーになっていたりすることがあります。ツール側の再開手順は、それぞれの提供会社の案内に従ってください。

ステップ6｜「メッセージ App」を使っている場合

BASEは10月22日8時ごろから、「メッセージ App」の一部で、管理画面からAppを開けない、メッセージの履歴が出ない不具合が起きていると案内していました（15時50分の確認時点では発生中）。15時50分に確認したところ、このお知らせは「障害・メンテナンス情報」から外れ、ページも開けなくなっていました（16時00分の再確認でも同じです）。解消したという告知文は見当たらなかったので、メッセージ Appを使っている場合は、管理画面からAppを開けるか、履歴が出るかを一度確かめておきましょう。お知らせにはPHPとの関係は書かれていませんでした。返事ができない状態が続くときは、メールなど別の連絡手段で対応するとよいでしょう。

お客様の情報やカード情報への影響

10月22日16時00分時点で、BASEの公式のお知らせに、お客様の個人情報やクレジットカード情報が影響を受けたという記載はありません。共同通信の報道では、BASEは不正アクセスや情報漏えいは確認されていないと説明したと伝えられています。

「記載がない」と「影響がない」は分けて考える

公式に書かれているのは、脆弱性への対応としてメンテナンスをしたことと、それが完了したことまでです。運営者が「影響はありません」と言い切れる材料は、いまのところ公式の文書にはありません。お客様に説明するときは、BASEの発表内容をそのまま伝える形にしておくと、あとで情報が更新されても困りません。

続報が出たときの見方

もし続報が出たら、「何が」「いつからいつまで」「誰の情報が」対象なのかを順に確認します。ショップ運営者に向けた対応のお願いがあれば、登録メールアドレスにも案内が届くはずなので、メールとヘルプセンターの両方を見るようにしてください。

お客様に聞かれたときの伝え方

「昨日ショップが開かなかった」「情報は大丈夫？」と聞かれたときは、事実だけを短く伝えるのがいちばんです。こわがらせる言い方も、根拠のない「大丈夫です」も避けます。

そのまま使える返事の例

「お問い合わせありがとうございます。10月21日の夕方から22日の朝まで、当店が利用しているネットショップのシステム（BASE）で緊急メンテナンスが行われ、ショップをご覧いただけない時間がありました。BASEの発表によると、システムで使われているソフトウェアの脆弱性に対応するためのメンテナンスで、22日朝8時に完了しています。お客様の情報について新しい発表があった場合は、あらためてお知らせします。」

注文やキャンセルについて聞かれたとき

BASEのヘルプでは、発送状況や注文後のキャンセルなど、注文に関することは購入したショップに問い合わせるよう案内されています。注文画面で該当の注文を確認したうえで、ふだんどおりショップから答えます。メンテナンス中に購入できなかったお客様には、再開したことと、改めて購入できることを伝えるとていねいです。

SNSやお知らせ欄で伝えるか

セールや新商品の公開を21日の夕方から夜に予定していたショップは、SNSで「システムメンテナンスのため購入できない時間がありました。現在は再開しています」と一言添えると、お客様の迷いが減ります。それ以外のショップは、問い合わせがあったときに答えるだけでも問題ありません。

この機会に見直したいアカウントの守り方

今回の脆弱性はBASE側のサーバーの話なので、運営者の設定で防ぐものではありません。ただ、大きなニュースのあとは、それに便乗した偽メールが出回りやすくなります。この機会にショップのアカウントを守る設定を見直しておきましょう。

2段階認証を設定する

2段階認証は、パスワードに加えて、スマホに届く番号などでも本人確認をする仕組みです。BASEのヘルプによると、管理画面右上のアイコン（ショップロゴ）から「ユーザー情報」を開き、「高度なセキュリティ設定」の「変更する」から設定できます。認証方法は、SMS（携帯電話番号あてのメッセージ）か、Google Authenticatorなどの認証アプリです。設定後に表示される32桁のリカバリーコードは、スマホをなくしたときに必要になるので必ず保存してください。2段階認証を設定できるのはショップオーナーのアカウントだけです。

パスキーでのログインも検討する

パスキーは、指紋や顔などでログインする方法で、パスワードを盗み取る偽サイト対策にも役立ちます。BASEのヘルプでは、Webとスマホアプリ「BASE」の両方で使え、スタッフのアカウントでも利用できるとされています。パスキーを登録したあとも、メールアドレスとパスワードは引き続き大切に管理してください。

スタッフのアカウントと権限を見直す

複数人で運営しているなら、オーナーのメールアドレスとパスワードを共有せず、「スタッフ権限管理 App」でスタッフごとにアカウントを分けるのが基本です。「スタッフ一覧」で、もう関わっていない人が残っていないか、必要以上のメニューを開けるようになっていないかを確認し、不要なスタッフは削除します。これまでオーナーのアカウントを共有していた場合は、スタッフ用のアカウントに切り替えたあと、オーナーのパスワードを変更するようヘルプでも案内されています。

使っていないAppや連携を整理する

管理画面の「Apps」で、いまは使っていないAppが入ったままになっていないかを見直します。外部のツールをBASE APIでつないでいる場合も、使っていない連携は止めておくと、気にするところが減ります。連携の解除方法はツールごとに違うので、提供会社の案内を確認してください。

心あたりのない認証番号のメールが届いたら

BASEでは、ふだんと違う環境からログインしたときなどに、登録メールアドレスへ認証番号が送られます。BASEのヘルプでは、自分がログインしていないのに認証番号のメールが届いた場合は、パスワードが第三者に知られている可能性があるとして、「ユーザー情報」からのパスワード変更と、2段階認証の設定をすすめています。メールの中のリンクから操作するのではなく、自分でBASEの管理画面を開いて変更するのが安全です。

よくあるつまずきと対処

メンテナンス明けに起きやすいことを、症状ごとにまとめます。多くは時間をおくか、ふだんの手順で解決します。

管理画面にログインできない

まずメールアドレスとパスワードに間違いがないかを確認します。何度も失敗するとログインがロックされることがあり、その場合は登録メールアドレスに届くロック解除のメールから解除します。くわしくはログインできないときのヘルプにまとまっています。

連携ツールに注文が入ってこない

BASEの注文画面には注文があるのに、連携ツールに出てこない場合は、ツール側の同期が止まっている可能性があります。ツールの管理画面で再同期や手動での取り込みができないかを確認し、解決しなければツールの提供会社に問い合わせます。

「メンテナンスの影響」をうたう不審なメールが届いた

「メンテナンスのため再ログインが必要」「アカウント確認のお願い」といったメールが届いても、メール内のリンクは開かずに、ブックマークや検索から自分でBASEを開いて確認してください。BASEの公式のお知らせは、ヘルプセンターの「障害・メンテナンス情報」で確認できます。

BASEのサポートに問い合わせるとき

公式のお知らせでは、不明な点はお問い合わせフォームから連絡するよう案内されています。BASEは電話やチャットでのサポートはしておらず、フォームへの返事はメールで届きます。

問い合わせたほうがよい場面

注文画面に、あるはずの注文が見当たらない。ショップページの表示や購入手続きが、時間をおいても直らない。自分がログインしていないのに認証番号のメールが届き、パスワードを変えても続く。こうした場面では、ショップのURL、起きている日時、画面のスクリーンショットを添えて問い合わせると、話が早く進みます。

受付時間と返事までの目安

BASEのヘルプによると、お問い合わせフォームの受付は平日10時から19時で、返事はおよそ1営業日です。BASE APIについては専用の窓口があり、10月22日時点で返事まで3〜5営業日かかると案内されています。メンテナンス明けは問い合わせが増えやすいので、急ぎでない確認はまとめて送るとよいでしょう。

【別件】BASEの子会社Eストアーの「ショップサーブ」の件

ここからは今回のPHPの件とは別の話です。BASEの子会社である株式会社Eストアーは、同社が運営するネットショップ構築サービス「ショップサーブ」への不正アクセスについて、10月16日に最終報告を公表しています。

ショップサーブの件の概要

最終報告によると、2026年5月21日から8月1日にかけて、外部の第三者がEストアーのサーバー上で動くアプリケーションの弱点を悪用し、データベースの情報を外部に送っていました。対象は約2,335万6,000人、店舗は7,858店で、このうち約209万6,900人分にはクレジットカード情報の一部（カード名義、カード番号の先頭6桁と下4桁、有効期限）が含まれます。完全なカード番号とセキュリティコードは保持しておらず、漏れた情報だけでは決済はできないとしています。

BASEのショップへの影響

同じ最終報告の中で、Eストアーは、関係会社のサービスは本件の対象となったサーバーやシステムとは別の環境で運用されており、攻撃の対象に含まれておらず、関係会社のサービスで情報漏えいは発生していないことを確認したと書いています。BASEでショップを運営している方が、この件で何か作業をする必要は、公式の発表からは読み取れません。お客様から混同した質問があったときは、別のサービスの件であることを伝えれば十分です。

よくある質問

Q. BASEのショップ運営者が、自分でPHPを更新する必要はありますか？

A. ありません。BASEはサーバーとPHPをBASE側が運用するサービスで、今回の緊急メンテナンスもBASE側の作業です。ショップ管理画面にPHPを選ぶ設定もありません。

Q. メンテナンスはもう終わっていますか？

A. はい。公式のお知らせでは、10月22日（木）8時に完了したとされています。なお、同じ朝から「メッセージ App」の一部に不具合が出ていると案内されていましたが、10月22日16時00分時点ではそのお知らせは掲載が終わっています。

Q. お客様の個人情報やカード情報は漏れていませんか？

A. 公式のお知らせには、個人情報やカード情報への影響についての記載はありません。共同通信の報道では、BASEは不正アクセスや情報漏えいは確認されていないと説明したと伝えられています。続報が出たら公式の内容を優先してください。

Q. メンテナンス中に入った注文はどうなりますか？

A. メンテナンス中はショップの閲覧や注文もできない状態だったと報じられています。注文の扱いについて公式のお知らせに記載はないので、停止前後の注文は注文画面で確認し、気になる点はお問い合わせフォームで確認してください。

Q. スタッフのアカウントでも2段階認証は使えますか？

A. SMSや認証アプリによる2段階認証は、ショップオーナーのアカウントだけで設定できます。スタッフのアカウントは、状況に応じてメールで認証番号の入力が求められる仕組みがあり、パスキーも使えます。

Q. BASEとは別にWordPressのサイトがあります。何か必要ですか？

A. そのサイトが動いているサーバーのPHPは今回の対象です。サーバー会社のお知らせを確認し、PHPが8.2.35・8.3.36・8.4.27・8.5.12以上になっているかを確かめてください。WordPressやプラグインの更新だけでは直りません。

この記事は2026年10月22日16時00分時点の情報です。BASEから新しいお知らせが出た場合は、公式ページの内容を優先してください。PHPの脆弱性そのものは解説記事、国内各社の動きは10月21日の国内の対応まとめにまとめています。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。