グーペはPHP脆弱性の影響を受ける？（2026年10月）｜サイト運営者が確認すること

グーペはPHP脆弱性の影響を受ける？（2026年10月）｜サイト運営者が確認すること

セキュリティ対策 グーペはPHP脆弱性の影響を受ける？（2026年10月）｜サイト運営者が確認すること

グーペ（GMOペパボ株式会社が運営するホームページ作成サービス）は、PHP（WordPressなど多くのWebサービスを動かしているプログラム言語）の重大な脆弱性（CVE-2026-109618・CVE-2026-109619）への予防措置として、2026年10月21日の夜からサービスサイト・管理画面・お客様のホームページを順次止め、10月22日10時40分に管理画面とホームページ、12時30分にはすべてのメンテナンスが完了したと発表しました。発表の中で、利用者に作業をお願いする記載はありません。

速報（2026年10月22日16時00分時点・当社調べ）

①PHPの脆弱性への対応完了（予防措置のメンテナンスは10月22日12時30分に完了と公式発表。修正版PHPを適用したかの記載はなし）
②管理画面・ログイン入れる（10時40分に完了と公式発表。16時00分に外からログイン画面が開くことを確認。ログインはしていません）
③サイト・サービスの表示通常どおり（お客様のホームページは10時40分、サービスサイトは12時30分に完了と公式発表。お知らせは「【完了】」表示で、その後の追記・障害情報はなし）
④確認した公式ページグーペ「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」

状況は変わることがあります。最新の情報は公式ページでご確認ください。

この記事は、2026年10月22日16時00分時点で確認できた情報をもとにしています。グーペでお店や事務所のホームページを運営している方に向けて、公式に発表されたこと・まだ発表されていないこと、ホームページの持ち主として再開後に確認しておきたいこと、お客様から聞かれたときの伝え方を順に整理します。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）｜サイト運営者の準備と確認、国内で起きたことの全体像は2026年10月21日、PHPの重大な脆弱性で何が起きたか（まとめ）をご覧ください。状況は変わることがあるため、最新の情報はグーペの公式サイトでご確認ください。

先に結論を言うと、グーペの利用者がPHPの更新作業をする必要はありません。グーペはサーバーやプログラムの管理を運営会社がまとめて行うサービスで、利用者がPHPのバージョンを選んだり、PHPのプログラムを置いたりする機能は、公式マニュアルを見た範囲では見当たりません。利用者がやることは「ホームページが元どおり表示されるか確かめる」「管理画面の状態を確かめる」「お客様への案内を用意しておく」の3つです。

タイミングやること
再開した今ホームページの表示、お問い合わせ・イベント予約の受付を確認する
管理画面に入ったらホームページ情報とログイン履歴を確認する
落ち着いてから二要素認証・パスワード・副管理者・外部サービス連携を見直す
おかしな点を見つけたときグーペのサポートに連絡する（窓口は後半で説明）
目次

グーペが公式に発表していること（10月22日16時00分時点）

小さなお店のレジカウンターで会計をする様子
Photo by Christiann Koepke on Unsplash

グーペは「メンテナンス情報」に、10月21日付で「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」を掲載しています。要点は次のとおりです。

停止の理由はPHPの脆弱性への予防措置

お知らせでは、PHPの重大な脆弱性の修正版が10月21日23時（日本時間）に公開されると予告されたこと、IPA（独立行政法人 情報処理推進機構）も事前準備を呼びかけていることを挙げ、「お客様の安全を最優先とし、修正版の公開に先立って予防措置として当サービスのメンテナンスを実施いたします」と説明しています。被害が起きたから止めたのではなく、先回りして止めたという位置づけです。

止まったものと再開の時刻

対象状況（10月22日16時00分時点）
管理画面10月22日10時40分にメンテナンス完了
お客様のホームページ10月22日10時40分にメンテナンス完了
サービスサイト（goope.jp）10月22日12時30分にメンテナンス完了
マニュアル・サポートについて・制作代行サービス・お役立ち情報10時40分の時点では引き続きメンテナンス中、12時30分の追記で「メンテナンスを完了いたしました」

開始の時刻は「インフォ掲載時点から順次」とだけ書かれています。私たちが確認したところでは、10月22日9時40分の時点でサービスサイト・管理画面に加え、グーペで作られたホームページ（独自ドメインのものを含む、公式サイトの事例紹介に載っている6件）がすべて「メンテナンス中」の画面になっており、10時44分には表示が戻っていました。停止中は、お客様がホームページを見られない状態だったということです。

お知らせに書かれていないこと

一方で、次の点はお知らせに書かれていません。修正版のPHPを適用したかどうか、脆弱性を狙った攻撃や情報の漏えいがあったかどうか、利用者にお願いしたい作業があるかどうか、の3点です。分からないことは分からないままにしておき、追加の発表があれば確認するのが確実です。なお、停止中はお知らせのページがあるサービスサイト自体が開けず、利用者が停止の理由を確認できない時間がありました。よくある質問のページ（help.goope.jp）は停止中も開けましたが、今回の件の記事はありませんでした。

グーペとPHPの関係

グーペが自社の仕組みについて「PHPで作っている」と説明したページは見当たりませんが、今回PHPの脆弱性への予防措置として管理画面とホームページを止めたことから、PHPが関わる部分があると考えるのが自然です。

運営会社のニュースから分かること

GMOペパボ株式会社のニュースでは、グーペを担当するエンジニアが、2018年にLaravel（PHPでWebサービスを作るための土台になる仕組み）の勉強会に、2019年にPHPの技術者向けの催し「PHPerKaigi 2019」に登壇したと紹介されています。どの部分にどのバージョンのPHPを使っているかは公表されていません。

同じ会社の別サービスも同じ時間帯に停止

参考までに、同じGMOペパボのネットショップ作成サービス「カラーミーショップ」も、PHPの脆弱性への予防措置として10月21日22時からサービスを止め、10月22日8時49分にメンテナンスが完了したと公表しています。カラーミーショップのお知らせには「現時点で、カラーミーショップにおける当該脆弱性を悪用した攻撃やデータ漏洩は確認されておりません」「ショップオーナーさま側でご対応いただくことは特にございません」と書かれています。グーペは別のサービスなので、同じ説明がグーペにも当てはまるとは限りません。

WordPressで作ったサイトとの違い

WordPressのサイトをレンタルサーバーで運営している場合は、管理パネルで使うPHPのバージョンを利用者が選びます。8.1以前を選んだままなら自分で切り替える必要があります（レンタルサーバー側の動きはエックスサーバーの管理画面停止（10/21）の記事でも整理しています）。グーペはサーバーもプログラムも運営会社が管理する仕組みなので、この作業は利用者の側にはありません。ただし、グーペとは別にレンタルサーバーでWordPressのブログやフォームを動かしている場合は、そちらは自分で確認が必要です。

お客様の情報やカード情報への影響は

10月22日16時00分時点で、グーペから「お客様の情報が漏れた」「不正なアクセスがあった」という発表は出ていません。同時に、「影響はなかった」という説明も、グーペのお知らせには書かれていません。分かっていない段階なので、どちらとも言い切らないことが大切です。

グーペの管理画面には、ホームページのお問い合わせフォームから届いた内容（お名前・メールアドレス・本文など）や、イベント予約で受け付けた予約者の情報（お名前・電話番号・メールアドレスなど）が保存されています。今後のお知らせで、こうした情報についての説明があるかを確認してください。

「PayPalかんたん決済」を使っている場合、マニュアルでは、購入者は「カートに追加」ボタンからPayPalの決済画面に移って、そこでカード情報を入力する流れになっています。決済についての問い合わせ先もPayPalと案内されています。カード情報の扱いが気になる場合は、PayPalの案内も合わせて確認してください。

グーペの利用料をクレジットカードで払っている場合、カードは管理画面の「料金お支払い」＞「お支払い方法」で登録します。マニュアルによると、管理画面ではセキュリティ保護のためカードの有効期限は表示されない仕組みです。今回の停止とカード情報の関係について説明は出ていないので、カードの明細に覚えのない請求がないかを、ふだんどおり確認しておくと安心です。

再開後に管理画面で確認すること

ノートパソコンでホームページの管理画面を確認する店主
Photo by Vitaly Gariev on Unsplash

再開したら、次の順番で確認しておくと安心です。メニューの名前は、グーペの公式マニュアル（よくある質問）に書かれているものに合わせています。

ステップ1｜ホームページの表示を確かめる

まずは自分のホームページをパソコンとスマートフォンの両方で開き、メンテナンス画面ではなく、いつものページが表示されるかを見ます。トップページだけでなく、お知らせ・メニュー・お問い合わせ・予約のページも開いておきます。独自ドメインを使っている場合は、そのアドレスでも確認してください。メンテナンス画面が出たままに見えるときは、ページの再読み込みや、別の端末での確認も試してみてください。

ステップ2｜管理画面にログインし、ホームページ情報を見る

管理画面にログインすると、最初に「ホームページ情報」が表示されます。ここで「公開状態」が公開中になっているか、身に覚えのない変更がないかを確かめます。ログインできない場合は、入力ミスを確認したうえで、よくある質問「管理画面へログインできない場合の対応方法を教えて」の手順（ログインID通知・パスワード再設定）を使います。

ステップ3｜ログイン履歴を確認する

「管理メニュー」＞「アカウント管理」＞「アカウント情報」の「ログイン履歴」タブでは、管理画面にログインした日時やIPアドレス（接続元を表す番号）が確認できます。自分やスタッフがログインしていない時間の記録がないかを見ておきます。見覚えのない記録があれば、すぐにパスワードを変えてサポートに連絡してください。

ステップ4｜お問い合わせとイベント予約を確認する

「お問い合わせ」の受信箱と、「イベント予約」の予約一覧を開き、停止の前後に届いたものを確認します。停止中はホームページ自体が開けなかったため、その時間帯はフォームからの連絡は届いていないと考えられます。予約の日時が近いお客様には、念のため別の手段で確認の連絡を入れておくと行き違いを防げます。

ステップ5｜PayPalの取引履歴を確認する（使っている場合）

PayPalかんたん決済を使っている場合は、PayPalの管理画面の「取引履歴」で、停止の前後の注文に漏れや重複がないかを確認します。注文の記録はPayPal側に残っているので、グーペの停止の前後に入った注文があるかどうかもここで分かります。

アカウントの安全を見直す

スマートフォンを手に持って操作する様子
Photo by Jonas Leupe on Unsplash

グーペは今回の停止の少し前、10月15日に「二要素認証の設定とパスワードの見直しのお願い」というお知らせを出していました。今回のメンテナンスとは別の、利用者全体への呼びかけですが、再開したこの機会に合わせて見直しておくとよい内容です。

二要素認証を設定する

二要素認証とは、パスワードに加えて、電話に届く6けたの認証コードを入力してログインする仕組みです。パスワードが他人に知られても、電話が手元になければログインされにくくなります。設定は「管理メニュー」＞「アカウント管理」＞「アカウント情報」＞「二要素認証」タブで、「SMSを送信する」を押し、届いたコードを入れて「認証する」を押します。次回のログインから有効になります。

固定電話の番号を登録している場合は注意が必要です。10月15日のお知らせ（10月22日時点の内容）では、固定電話の番号だと「認証コードを送信できませんでした。」と表示されて設定を完了できない状態だとして、「お客様情報」タブで携帯電話の番号に変えてから設定するよう案内しています。

パスワードを使い回していないか確かめる

ほかのサービスと同じパスワードを使っている場合は、「アカウント情報」の「パスワード変更」タブで変更します。グーペでは、過去に他のサービスで漏れたことが報告されているパスワードは設定できない仕組みになっています（よくある質問より）。

副管理者（スタッフ用のログイン）を見直す

副管理者は、スタッフや制作会社に一部の機能だけを任せるためのログインで、1つのアカウントに5つまで作れます。「アカウント情報」の「副管理者」で、辞めたスタッフや今は付き合いのない業者のログインが残っていないか、任せている機能が広すぎないかを確認します。マニュアルによると、副管理者のログインは二要素認証の設定後もパスワードだけで入れるため、使っていないものは整理しておくのが安全です。

外部サービス連携と連絡先メールアドレスを確認する

「管理メニュー」＞「各種設定」＞「外部サービス連携」で、X・Facebook・LINE・Instagramとの連携先が自分のアカウントになっているかを見ます。あわせて「アカウント情報」の「連絡先メールアドレス」が今も受け取れるアドレスになっているかを確認しておくと、グーペからの大事なお知らせを見落とさずに済みます。なお、サポートが終わっていたiOSアプリ「Goope Manager」は10月20日で利用停止になったと案内されています。スマートフォンからはブラウザで管理画面にログインしてください。

お客様に聞かれたときの伝え方

お客様から「ホームページが見られなかった」「大丈夫なの？」と聞かれたときは、分かっていることだけを短く伝えるのが基本です。分からないことを「問題ありません」と言い切ってしまうと、後から別の発表が出たときに説明が難しくなります。

見られなかった理由を聞かれたとき

たとえば「ホームページの作成サービスが、プログラムの弱点への予防のためにメンテナンスを行っていて、10月21日の夜から22日の午前中まで一時的に見られない状態でした。今は元どおりご覧いただけます」と伝えます。停止中に連絡が取れなかったお客様がいそうな場合は、電話やSNSでの受付も案内しておくと親切です。

情報が漏れていないか聞かれたとき

「サービスの運営会社からは予防のためのメンテナンスと発表されていて、情報が漏れたという発表は出ていません。新しい発表があればお知らせします」のように、発表の有無で答えます。「絶対に大丈夫です」とは言わず、確認した日時を添えておくと誠実に伝わります。

サポートに連絡したほうがよい場面

机の上に置かれたオフィス用の電話
Photo by Julian Hochgesang on Unsplash

再開後に次のようなことがあれば、グーペのサポートに連絡してください。自分だけで判断せず、早めに相談するほうが確実です。

こんなとき連絡の前にやっておくこと
ログイン履歴に覚えのない記録があるパスワードを変更し、記録の日時をメモする
ページの内容が勝手に変わっている画面を撮影し、変わったページのアドレスを控える
再開後もホームページが表示されない別の端末・回線でも開けないか試す
管理画面にログインできないパスワード再設定の手順を先に試す
グーペを名乗る不審なメールが届いたメールのリンクは押さず、本文を保存する

よくある質問「サポートの種類や窓口について教えて」によると、問い合わせはお問い合わせフォームから始まるAIチャットで受け付け、解決しない場合は「オペレーターへお問い合わせ」から人によるメールサポートにつながります。返信の目安は原則2営業日以内で、土日祝日は休業です。スタンダードプランは予約制の電話サポートも使えます。また、いたずら防止のため、同じ接続元から10分以内に続けて問い合わせることはできない仕様です。再開直後は問い合わせが混み合うことも考えられるので、内容は1回の問い合わせにまとめて送るのがおすすめです。

よくある失敗と注意点

停止や再開の直後は、慌ててしまいがちです。次のような行動は避けてください。

グーペを名乗るメールのリンクからログインする

大きな出来事のあとは、運営会社を装ったメールが出回ることがあります。ログインは、メールのリンクではなく、ブックマークしておいたグーペの公式サイトから行うようにしましょう。

「被害があった」と受け取れる書き方で告知する

お店のSNSなどで停止を知らせるとき、「PHPの脆弱性でやられた」のように被害があったと受け取れる書き方は避けましょう。グーペの発表は「予防措置としてのメンテナンス」です。「ホームページ作成サービスのメンテナンスで一時的に見られませんでした」と伝えるのが正確です。

ホームページの控えを取っていない

グーペには、ホームページ全体のバックアップを取る機能はありません（よくある質問より）。デザインとフリーページは複製機能で控えを作れますが、それ以外の文章や画像は手元のパソコンなどに保存しておく必要があります。今回のように急に止まることもあるので、大事な文章や写真は手元にも残しておくと安心です。

制作の現場では、ホームページが止まったときに「お店の電話番号がどこにも出ていない」ことで困るケースをよく見かけます。Googleマップの店舗情報やSNSに連絡先を載せておくと、ホームページだけに頼らずに済みます。ホームページ作成サービスの選び方はホームページ作成サービス比較｜小規模事業者が自作と制作会社を選ぶ基準でも整理しています。

よくある質問

チェックリストに印をつけながら確認する手元
Photo by Jakub Żerdzicki on Unsplash

Q. グーペの停止はPHPの脆弱性が理由ですか？

A. はい。グーペは「PHPの脆弱性への予防措置に伴うメンテナンス」と発表しています。被害が起きたためではなく、修正版の公開に先立って予防のために止めたという説明です。

Q. グーペの利用者がPHPを更新する必要はありますか？

A. ありません。グーペはサーバーやプログラムを運営会社が管理するサービスで、利用者がPHPのバージョンを選ぶ設定は公式マニュアルに見当たりません。お知らせにも、利用者に作業をお願いする記載はありません。

Q. もう使えるようになっていますか？

A. はい。10月22日10時40分の追記で管理画面とお客様のホームページのメンテナンスが完了し、12時30分の追記で「メンテナンスを完了いたしました」と発表されています。

Q. 停止中に送られたお問い合わせはどうなりますか？

A. 停止中はホームページそのものが開けなかったため、フォームからは送れなかったと考えられます。お客様が別の方法で連絡してくることもあるので、電話やSNSのメッセージを見落とさないようにしてください。

Q. 二要素認証は設定したほうがいいですか？

A. 設定をおすすめします。グーペも10月15日のお知らせで、すべての利用者に設定を呼びかけています。固定電話の番号では設定を完了できない状態と案内されているため、携帯電話の番号を登録しておくとスムーズです。

参考にした情報

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。

GAME デザインバトル（名刺・ロゴ・Webサイト） 2つのデザインから好きなほうを選ぶだけ。10戦であなたの「目利き一致率」がわかります。デザイナーの方は自分の作品でエントリーも受付中です。 遊んでみる
グーペはPHP脆弱性の影響を受ける？（2026年10月）｜サイト運営者が確認すること
最新情報をチェックしよう！

セキュリティ対策の最新記事

LET’S CONTACT

お問い合わせ

デザインと発信の力で、お客様の強みや想いを形にし、
成果につながるコンテンツを制作します。
「うちの場合はどうなる？」という段階からでも、どうぞお気軽にご相談ください。