JAL、PHP重大脆弱性で停止したWebサービスを順次再開

日本航空（JAL）は2026年10月23日、Webサイトの一部ページ・サービスを順次再開していると発表した。プログラミング言語「PHP」の重大な脆弱性への対応として、対象ページを予防的に停止し、修正作業を進めていた。今回の案内では、安全性を確認できたページやサービスから利用を再開していると説明している。

予防的な停止から、安全性確認後の順次再開へ

JALは、同社Webサイトの一部システムでPHPを使用していると説明。脆弱性が報告されたことを受け、影響する可能性があるページやサービスを一時的に閉鎖し、対策を実施した。10月23日付の公式案内は、再開が段階的に進んでいることを明記する一方、対象ページの一覧や全機能の復旧完了時刻は示していない。したがって、すべてのページが通常どおり利用できる状態になったとまでは判断できない。

利用者への影響について、JALは「サイバー攻撃、情報漏洩などは発生していない」と説明している。また、航空券の予約・発券、航空機の運航には影響がないと明示した。Webサイトの一部機能の停止と、航空便そのものの欠航・遅延や予約システム全体の停止は区別する必要がある。停止していた具体的なページや個別機能の最新状況は、JALの公式案内で確認するのが確実だ。

背景にあるPHPの重大な脆弱性とは

PHPの開発元であるThe PHP Groupは10月21日、認証なしで遠隔からコードを実行される可能性がある重大な脆弱性2件を公表した。識別番号はCVE-2026-109618とCVE-2026-109619。前者はメモリ不足時の内部状態の破損、後者は解放済みメモリに関係する状態の再利用が問題とされる。いずれもWebサーバー上で動くPHPの安全性に関わるため、サイト運営者に更新を促している。

開発元は修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、速やかな更新を推奨した。ただし、JALが実際に利用していたPHPのバージョンや実行方式は公表されていない。今回の対応がどの修正手順で行われたのか、JALのシステムに脆弱性を悪用した痕跡があったのかを、外部から推測して断定することはできない。

利用者が確認すべき点

今回の発表で重要なのは、障害や攻撃の発生を理由とした停止ではなく、脆弱性への予防措置だったという点だ。JALは攻撃や情報漏えいの発生を否定し、予約・発券・運航への影響もないと説明している。利用者は、アクセスできないページが残っている場合でも直ちに予約情報の消失や個人情報流出を意味すると受け取るべきではない。一方、段階的な再開である以上、機能によって利用可否が異なる可能性はある。

Webサービスの提供者にとっては、公開された修正版の適用と、更新後の動作・安全性確認を両立させる必要がある事例でもある。JALは再開対象を順次拡大していると案内しているが、完全復旧の時刻は明らかにしていない。利用者向けの確定情報はJALの10月23日付のお知らせ、技術的な脆弱性の詳細はPHP開発元の公式情報で確認できる。