futureshopのPHP脆弱性への対応とは、2026年10月21日に公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）を受けて、株式会社フューチャーショップがサービスの一部、続いて全店舗のサービスを止めて対策を進めている件のことです。同社は10月21日21時36分から、futureshop・futureshop omni-channelを使う全店舗のECサイト、管理画面、FTP、APIを停止していました。10月22日15時58分に更新された第六報で、多くの店舗のサービスを15時3分以降に再開したと発表しています。ただし、C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使っている店舗は、16時00分の時点でもメンテナンスが続いています。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 一部再開（公式発表。第六報・10月22日15時58分更新で、多くの店舗のサービスを15時3分以降に再開。C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使う店舗はメンテナンスを継続。再開した店舗でも、Webコンテンツサーバー上のPHPは引き続き動かない） |
| 管理画面・ログイン | 再開した店舗は入れる（公式発表で、futureshop管理画面・FTP・APIを再開。C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使う店舗は引き続き使えない。C02などの4台は復旧時期を調査中） |
| サイト・サービスの表示 | 再開した店舗は表示される（公式発表。PHPを使っているページは正しく表示されない場合がある。継続中の店舗のECサイトは停止中） |
| 確認した公式ページ | サービス稼働状況（第六報）／緊急メンテナンス継続のお知らせ／お知らせ一覧 |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点で公表されている公式情報をもとにしています。状況は数時間おきに更新されているため、最新の情報はfutureshopのサービス稼働状況ページでご確認ください。futureshopでネットショップを運営している方に向けて、公式に分かっていること、同じ時期に発表された不正アクセスの件との違い、再開した店舗とまだ止まっている店舗それぞれで確認しておきたいことを順に整理します。PHPの脆弱性そのものの説明は、PHPの重大な脆弱性の解説記事にまとめています。
先に結論｜ショップ運営者が知っておきたいこと
要点は、「ショップ側でPHPを更新する作業はない。再開した店舗は管理画面と注文の流れの点検、まだ止まっている店舗は案内と記録」という流れです。表にまとめると次のとおりです。
| 項目 | 公式に分かっていること（10月22日時点） |
|---|---|
| PHPの件での停止 | 10月21日20時からCMSサーバー（VPS）オプションなどを停止。21時36分から全店舗のECサイト・管理画面・FTP・APIを停止 |
| 再開の状況 | 15時3分以降に多くの店舗で再開（15時58分更新の第六報）。C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使う店舗はメンテナンスを継続。C02などの4台は復旧時期を調査中 |
| メール | 契約ドメインのメールアドレスの送受信を停止中。停止中に受信したメールはサーバーに保存されている（第二報） |
| ショップ側のPHP更新 | 店舗に作業を求める案内は出ていない |
| 個人情報 | 不正アクセスの件について「現時点で個人情報の参照および外部への持ち出しの痕跡がない」（10月22日7時時点） |
| 問い合わせ先 | フューチャーショップ サポートセンター（お問い合わせフォーム／電話 06-6485-6485・平日10時〜17時） |
国内の他のサービスやサーバー会社の動きは、10月21日のPHP脆弱性で起きたことのまとめ記事で一覧にしています。
futureshopの公式発表（PHPの件）
PHPの件について、futureshopは「お知らせ」と「サービス稼働状況」の2か所で案内しています。時間の順に見ると、まず一部の機能を止め、夜に全店舗のサービスを止め、翌日の15時過ぎに多くの店舗から再開した、という流れです。
10月21日20時｜CMSサーバー（VPS）オプションなどを停止
10月21日のお知らせ「【重要】CMSサーバー（VPS）オプション等の停止に関するお知らせ」では、PHPに重大な脆弱性が確認されたため、安全が確認できるまでの予防的な措置として、20時から次の2つを止めると案内しています。
- CMSサーバー（VPS）オプション（WordPressなどを置ける追加のサーバー。FTPでの接続もできない）
- コマースクリエイター未利用店舗のコンテンツサーバーのPHP機能
トップページをCMSサーバーで運用している店舗や、CMSサーバーから画像・ファイルを読み込んでいる店舗では、該当のページや画像が表示されなくなります。同社は「ショップ画面が正しく表示されないままご注文を受け付けることになるため、ショップをメンテナンス状態にするかどうか、ご検討ください」と呼びかけていました。
10月21日21時36分｜全店舗のサービスを停止
サービス稼働状況ページによると、18時30分以降に実施するとしていた緊急メンテナンスで、21時36分からサービスを止めています。対象はfutureshop・futureshop omni-channelを使う全店舗で、ECサイト、futureshop管理画面、FTP、APIが使えない状態です。あわせて、契約ドメインのメールアドレスの送受信も止まっています。
10月22日｜PHPの対応が終わるまで停止を続ける
10月22日6時時点の更新では、「現在報道等でも取り上げられているプログラミング言語『PHP』の重大な脆弱性への対応が完了していないため、引き続きサービスを停止しております」としています。再開時刻は示されておらず、安全が確認でき次第、順次再開する方針です。その後、10月22日10時30分時点の緊急メンテナンス継続のお知らせで、再開の見込みが12時30分頃と示されました。さらにサービス稼働状況の第四報（12時45分更新）では、安全確認の作業に想定以上の時間がかかっているとして、再開の見込みを14時30分頃に変更しています。12時45分時点でも、ECサイト、futureshop管理画面、FTP、APIは使えない状態です。次回の案内は10月22日14時頃の予定で、それより前に再開した場合はその時点で知らせるとしています。
13時40分には第五報が出ました。内容は第四報と同じく、PHPの脆弱性対策が終わっていないため全サービスの停止を続けるというもので、再開の見込みも14時30分頃のままです。新しく加わったのは、不正アクセスの件で止めているC02・C05・C12・G06サーバーの店舗についての案内で、ほかの店舗が再開した後も、ECサイト・管理画面・FTP・APIは引き続き使えず、復旧時期は調査中とされています。見込みの14時30分頃を過ぎても再開の案内はしばらく出ず、当社が15時50分に確認した時点でも公式ページは第五報のままでした。
10月22日15時3分以降｜多くの店舗で再開（第六報）
15時58分に更新されたサービス稼働状況の第六報「futureshop緊急メンテナンス 一部再開のお知らせ」で、15時3分以降に一部の店舗のサービスを再開したと発表されました。再開したのは、C02・C05・C12・G06以外のサーバーを使い、CMSサーバー（VPS）オプションを使っていない店舗です。ECサイト、futureshop管理画面、FTP、APIが使えるようになっています。
一方で、次の店舗はメンテナンスが続いています。C02・C05・C12・G06サーバーの店舗は、不正アクセスの件への対応のため停止を続けていて、復旧時期は調査中です。CMSサーバー（VPS）オプションを使っている店舗も、ECサイト・管理画面・FTP・APIが引き続き使えません。また、コマースクリエイターを使っていない店舗（移行中を含む）は再開していますが、Webコンテンツサーバー上のPHPは引き続き動かず、PHPを使っているページは正しく表示されない場合があるとされています。メンテナンス中に自分でショップをメンテナンス状態にしていた店舗には、再開後に必要に応じて解除するよう呼びかけています。当社が16時00分に確認した時点で、これより新しい案内は出ていません。
| 日時 | 出来事 | 出典 |
|---|---|---|
| 10月21日 10時14分頃 | サーバーの一部への不正アクセスを確認（別件・後述） | 第一報 |
| 10月21日 11時30分 | c02・c05・c12・g06の4台をメンテナンス状態に（別件・後述） | 第一報 |
| 10月21日 20時 | PHPの件でCMSサーバー（VPS）オプションなどを停止 | お知らせ（10月21日） |
| 10月21日 21時36分 | 全店舗のECサイト・管理画面・FTP・APIを停止 | サービス稼働状況 |
| 10月21日 23時 | PHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開 | PHP公式 |
| 10月22日 6時 | PHPの対応が終わっていないため停止を継続 | サービス稼働状況 |
| 10月22日 7時 | 個人情報の参照・持ち出しの痕跡は現時点でないと報告（第二報） | 第二報 |
| 10月22日 10時30分 | 停止を継続。再開の見込みを12時30分頃と案内 | 緊急メンテナンス継続のお知らせ |
| 10月22日 12時45分 | 停止を継続。再開の見込みを14時30分頃に延期（第四報） | サービス稼働状況 |
| 10月22日 13時40分 | 停止を継続（第五報）。C02・C05・C12・G06サーバーの店舗は再開後も使えないと案内 | サービス稼働状況 |
| 10月22日 15時3分以降 | 多くの店舗でサービスを再開（15時58分更新の第六報）。C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使う店舗はメンテナンスを継続 | サービス稼働状況 |
不正アクセスの件は、PHPの件と分けて整理する
futureshopでは同じ10月21日に、PHPの件とは別に「サーバーへの不正アクセス」も発表されています。2つは時期が重なり、第二報の中でも両方に触れているため混ざりやすいのですが、発表の内容としては別の話です。
第一報（10月21日）で公表されたこと
第一報では、10月21日10時14分頃に同社が運用するサーバーの一部への不正アクセスを確認し、被害の拡大を防ぐため11時30分からc02・c05・c12・g06の4台のサーバーをメンテナンス状態にしたと発表しました（c02はトライアル用の環境）。対象の店舗には個別に連絡しているとしています。店舗へのお願いとして、管理画面のパスワードを他のサービスでも使っている場合はそちらも変えること、同社や店舗を装った不審なメール・電話・SMSに注意することを挙げています。
第二報（10月22日7時時点）で公表されたこと
第二報では、調査の結果、現時点で個人情報の参照と外部への持ち出しの痕跡はないことを確認したと報告しています。そのうえで、PHPの脆弱性対策が完了していないためメンテナンスを続けていること、不正アクセスの検知を受けて対象店舗の契約ドメインのメールの送受信を止めていること（停止中に届いたメールはサーバーに保存されている）を案内しています。
2つの件の関係について言われていること
この記事の時点で、futureshopは不正アクセスの原因や、PHPの脆弱性との関係を公表していません。「不正アクセスはPHPの脆弱性が原因」といった書き込みを見かけても、公式の発表で確かめられるまでは結びつけて考えないほうが安全です。不正アクセスの件の詳しい流れと、対象サーバーの店舗が確認することは、futureshopの不正アクセスの解説記事にまとめています。
futureshopはPHPを使っているのか・ショップ側で更新は必要か
公式の案内から、futureshopのサービスの中でPHPが使われていることは読み取れます。ただし、futureshopはSaaS型（運営会社のサーバーで動くサービスを借りて使う形）のカートなので、PHPを更新するのは運営会社です。ショップ側にPHPの更新を求める案内は出ていません。
カート本体は運営会社の対応を待つ
ECサイトや管理画面、APIは運営会社のサーバーで動いています。ショップ側からPHPのバージョンを選んだり更新したりする場面はなく、今回も「安全が確認でき次第、順次再開」という運営会社の対応を待つことになります。
CMSサーバー（VPS）オプションとコンテンツサーバーのPHP機能
CMSサーバー（VPS）オプションでWordPressなどを動かしている店舗や、コンテンツサーバーのPHP機能で独自のページを作っている店舗は、カート本体とは別にPHPで動く部分を持っています。この部分も10月21日20時から止まっています。10月22日16時00分時点で、CMSサーバー（VPS）オプションを使う店舗はメンテナンスが続いています。コマースクリエイターを使っていない店舗はサービスが再開しましたが、Webコンテンツサーバー上のPHPは引き続き動かないとされています。PHPで作った独自のページがある場合は、表示が崩れていないかを確かめ、必要なら一時的に別のページへ案内を出しておくと安心です。再開時に店舗側で必要な作業は、今後の案内と対象店舗に届くメールで確認してください。
WordPressやプラグインの更新では直らない
今回の弱点はPHPそのものにあり、WordPressのプログラムが動き出す前の段階で狙われるとされています。CMSサーバーのWordPressやプラグインを最新にしても、この脆弱性は直りません。PHP本体が修正版になっていることが前提です。もちろん、再開後にWordPressやプラグインを最新にしておくこと自体は、別の弱点をふさぐ意味で大切です。
まだ止まっている店舗がやること
C02・C05・C12・G06サーバーの店舗や、CMSサーバー（VPS）オプションを使っている店舗など、まだメンテナンスが続いている場合の手順です。停止中はショップ側で直せることはほとんどありません。できるのは、お客様への案内、連絡手段の確保、記録、パスワードの見直しの準備です。
ステップ1｜公式の稼働状況と個別メールを確認する
サービス稼働状況ページは、次回の案内の予定時刻を書いたうえで更新されています。社内で確認する担当を決め、更新のたびに内容を共有します。不正アクセスの件の対象店舗には個別の連絡が届いているため、契約時に登録したメールアドレス（契約ドメイン以外のアドレス）も確認します。
ステップ2｜SNSなどでお客様に停止を知らせる
ECサイトが表示されないため、お客様への案内はInstagram、X、LINE公式アカウント、実店舗のサイトなど、futureshop以外の場所で出します。書くのは「いまサイトが見られないこと」「再開したらお知らせすること」「急ぎの問い合わせ先」の3つで十分です。原因や個人情報について、公式に出ていないことは書きません。
ステップ3｜メールが止まっている間の連絡手段を決める
契約ドメインのメールアドレス（ショップのドメインのアドレス）が送受信できないため、お客様や取引先からのメールに返信できません。電話や別のメールアドレスなど、当面の連絡先を決めておきます。第二報によると、停止中に届いたメールはサーバーに保存されているため、再開後に受信して返信漏れがないかを確認します。
ステップ4｜停止中の出来事を記録する
停止に気づいた時刻、受けた問い合わせ、電話で受けた注文、外部の受注管理や在庫連携のエラーなどを、時刻つきでメモしておきます。再開後に注文や在庫を突き合わせるとき、サポートに問い合わせるときに役立ちます。
ステップ5｜使い回しているパスワードを洗い出す
第一報では、管理画面のパスワードを他のサービスでも使っている場合はそちらも変えるよう求めています。管理画面にはまだ入れませんが、同じパスワードを使っている決済会社、モール、受注管理システム、メールなどは先に変えられます。どこで同じものを使っているかを書き出しておきます。
再開後に管理画面で確認すること
再開した店舗は、アカウントまわりの点検から始めます。futureshopの管理画面は、コマースクリエイター（futureshopの新しいデザイン管理の仕組み）を使っているかどうかでメニューの場所が違います。以下はfutureshopのよくある質問（虎の巻）に書かれているメニュー名です。
| 確認すること | コマースクリエイター利用中 | コマースクリエイター未利用 |
|---|---|---|
| ログインの履歴 | システム＞管理者ログ一覧 | 管理TOP＞管理者設定＞管理者ログ |
| 管理者アカウントの一覧・追加 | システム＞管理者一覧 | 管理TOP＞管理者設定＞管理者登録 |
| FTPのパスワード | システム＞FTPアカウント一覧 | 管理＞FTPパスワード変更 |
| APIの利用内容の変更 | システム＞各種申し込み＞APIご利用登録申し込みフォーム(自社開発) | 管理TOP＞管理トップ＞各種申し込み＞APIご利用登録申し込みフォーム(自社開発) |
管理者ログで心当たりのないログインがないか見る
管理者ログには、管理画面へのログインの記録が残ります。futureshopの案内でも、心当たりのないログインがあればすぐにログインパスワードを変えるよう求めています。普段と違う時間帯や、見覚えのない接続元がないかを確認します。
管理者アカウントを一人1つに整理する
futureshopは、管理者アカウントを一人1アカウントにして使い分けるよう案内しています。退職したスタッフや、作業が終わった制作会社・外注先のアカウントが残っていれば整理します。制作会社用のアカウントは、使える機能を絞って追加できます。
二段階認証のメールアドレスを確認する
futureshopの管理画面は、ログイン時に認証コードをメールで送る二段階認証（パスワードに加えて、別の手段で本人かを確かめる仕組み）を使っています。コードは管理者が登録した二段階認証用のメールアドレスに届きます。登録したアドレスが今も使えるか、退職者のアドレスになっていないかを確認します。契約ドメインのメールが止まっている間はコードを受け取れない可能性もあるため、どのアドレスに届く設定かを把握しておくと安心です。コマースクリエイター利用店舗では、外部のログインサービスと連携するSAML認証（社内の共通ログインで入れるようにする仕組み）も選べます。
FTPのパスワードを見直す
FTP（サイトのファイルをサーバーに送るための接続）のパスワードは、店舗側で変えられます。コマースクリエイター用のFTPは初期管理者だけが変更でき、CMSサーバー用のFTPは別の手順です。制作会社や外注先にFTPの情報を渡している場合は、変更したことを伝えます。
API連携・外部サービスの連携を確かめる
API（受注管理・在庫管理などの外部システムとデータをやり取りする窓口）も停止の対象です。再開後、受注の取り込みや在庫の更新が正しく動いているか、停止中にエラーで止まったままの処理がないかを確認します。もう使っていない連携は、サポートのお問い合わせフォームから廃止（削除）を依頼できます。
ショップの表示と注文の流れを試す
メンテナンス中に管理画面からショップをメンテナンス状態にしていた場合は、まず解除を忘れないようにします。そのうえで、トップページ、商品ページ、カート、注文完了までの流れと、注文確認メールが届くかを確かめます。CMSサーバーで作っているページや、そこから読み込んでいる画像が表示されるかも見ます。制作の現場では、サービスの再開直後に「画面は出ているのに、メールだけ届いていなかった」というケースをよく見かけます。見た目だけでなく、メールが届くところまで試してください。
お客様の情報・カード情報について
公式に分かっているのは、不正アクセスの件について「現時点で個人情報の参照および外部への持ち出しの痕跡がないことを確認」（10月22日7時時点）という報告だけです。クレジットカード情報について、10月22日時点のお知らせでは触れられていません。PHPの件で、お客様の情報に影響があったという発表もありません。
調査は続いており、今後の報告で内容が変わる可能性があります。ショップとしては、「漏れていない」と言い切らず、運営会社の発表をそのまま伝える姿勢が安全です。決済代行会社から個別の連絡が来た場合は、その案内に従います。
お客様から聞かれたときの答え方
お客様に伝えるのは、「何が起きているか」「お客様に何かしてほしいことがあるか」「いつ知らせるか」の3点です。まだ止まっている店舗なら、たとえば次のような文面が使えます。再開した店舗は、停止中に案内を出した場所で「再開しました」と一言知らせておくと、お客様が安心して注文できます。
現在、当店のネットショップは、システムを提供している会社のメンテナンスにより、ご覧いただけない状態です。再開の時期が分かりしだい、こちらでお知らせします。ご迷惑をおかけして申し訳ありません。お急ぎのご用件は、〇〇（電話番号など）までご連絡ください。
「個人情報は大丈夫ですか」と聞かれたら
「運営会社からは、10月22日朝の時点で個人情報が見られたり持ち出されたりした痕跡はないと報告を受けています。調査は続いているため、新しい情報が出たらお知らせします」のように、公式の発表とその時点を添えて答えます。
不審な連絡への注意も添える
こうした発表のあとは、店舗や運営会社を装った偽のメールやSMSが出回りやすくなります。「当店からメールやSMSでカード番号やパスワードをお聞きすることはありません」と一言添えておくと、お客様の不安を減らせます。
サポートに問い合わせる目安
停止中は問い合わせが集中しやすいため、公式ページで分かることは先に確認し、次のような場合に絞って連絡すると話が早く進みます。
| こんなとき | 伝えること |
|---|---|
| 再開のお知らせが出たのに、自店だけ表示や管理画面が戻らない | 店舗KEY、症状、気づいた時刻 |
| 管理者ログに心当たりのないログインがあった | 日時、アカウント名、接続元。パスワードは先に変更 |
| 再開後に受注の取り込みや在庫連携がおかしい | 連携しているサービス名、エラーの内容 |
| CMSサーバーのページが再開後も表示されない | 該当のURL、使っているCMS |
| 二段階認証のコードが届かずログインできない | 登録したアドレスが分かる範囲で |
問い合わせ先は、フューチャーショップ サポートセンターのお問い合わせフォーム、または利用中の店舗向けの電話（06-6485-6485・平日10時〜17時）です。
よくある失敗と注意点
大きな障害のときは、慌てて動くことと、何もしないことの両方が失敗につながります。
原因や影響を推測でお客様に伝えてしまう
「PHPの脆弱性で情報が盗まれた」「まったく問題ない」など、公式の発表にないことを書くと、あとで訂正が必要になります。案内は、発表の内容と時点をそのまま伝える形にとどめます。
再開後に点検をしないまま営業を戻す
再開するとすぐ注文の対応に追われますが、管理者ログとアカウントの確認、注文の流れのテストは、営業を戻す前後の早い段階で済ませます。停止中に届いたメールの確認も忘れずに行います。
よくある質問
Q. futureshopを使っている店舗はまだ止まっていますか？
A. 多くの店舗は再開しています。10月22日15時58分更新の第六報では、15時3分以降に、ECサイト、管理画面、FTP、APIを再開したとされています。ただし、C02・C05・C12・G06サーバーの店舗と、CMSサーバー（VPS）オプションを使う店舗は、16時00分時点でもメンテナンスが続いています。
Q. ショップ側でPHPを更新する必要はありますか？
A. 店舗に作業を求める案内は出ていません。futureshopはSaaS型のカートで、PHPの対応は運営会社が行っています。CMSサーバー（VPS）オプションについても、再開時の案内を確認してください。
Q. 不正アクセスはPHPの脆弱性が原因ですか？
A. 10月22日時点で、futureshopは不正アクセスの原因やPHPの件との関係を公表していません。別の発表として受け止め、続報を確認してください。
Q. お客様の個人情報やカード情報は漏れましたか？
A. 第二報（10月22日7時時点）では、現時点で個人情報の参照と外部への持ち出しの痕跡はないと報告されています。カード情報についての記載はありません。調査は続いています。
Q. いつ再開しますか？
A. 多くの店舗は10月22日15時3分以降に再開しました（第六報）。メンテナンスが続いている店舗の再開時期は、確定しだい案内するとされています。C02・C05・C12・G06サーバーの店舗は復旧時期を調査中です。最新の状況はサービス稼働状況ページで確認してください。
Q. 停止中に届いたメールは消えてしまいますか？
A. 第二報では、停止期間中に受信したメールはサーバーに保存されていると案内されています。再開後に受信して、返信漏れがないかを確認してください。
参考にした公式情報
- futureshop サービス稼働状況
- futureshop【重要】CMSサーバー（VPS）オプション等の停止に関するお知らせ（2026年10月21日）
- futureshop【重要・第一報】弊社サーバーへの不正アクセスに関するお詫びとお知らせ（2026年10月21日）
- futureshop【重要・第二報】弊社サーバーへの不正アクセスに関するご報告（2026年10月22日）
- futureshop【緊急メンテナンス】PHP脆弱性対応のためのfutureshop緊急メンテナンス継続のお知らせ（2026年10月22日）
- futureshop よくある質問（虎の巻）
- PHP公式のセキュリティ勧告（2026年10月21日）
- IPA【事前準備のお願い】PHPのセキュリティリリース公開予定について
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
