DLsite 緊急メンテの正体は
PHP の穴
購入履歴は漏れたのか。穴を見つけたのは AI を使った研究者だった。これから何が起きて、自分で何ができるかまで。
最終確認 2026-10-22 ／ DLsite を開いて確認・DLsite と PHP の公式発表、見つけた研究者の報告に合わせています
いま分かっていること10/22 確認
- 購入履歴や個人情報が漏れたという発表はない。DLsite の公式のお知らせにも、運営会社エイシスのお知らせにも出ていない。同じ夜に止まった DMM は「個人情報やデータの漏えいは一切発生していない」と発表した
- 止まったのは、PHP の穴をふさぐため。PHP は世界中のウェブサイトを動かしているプログラム。同じ夜に pixiv・BOOTH・DMM・ニコニコなど、日本で211の組織が止まった
- 穴を見つけたのは、AI を使った研究者。見つけた会社が自分たちで「AI を使った」と書いている
- DLsite はもう普通に使える。作品ページも買い物も動いている。ビューアアプリなど一部は、公式の最新のお知らせでまだ対応中
1何が起きた？
DLsite は21日、公式サイトと X で「22時45分からメンテナンスをするかもしれない」と知らせた。理由は「サービスを安定して提供するため」とだけ書かれていて、終わる時間は「未定」。PHP の穴をふさいだ版が出たのは、その15分後の23時だった。
理由も終わる時間も書かれていなかったので、X では「DLsite だけ何かあったんじゃないか」「購入履歴が漏れたんじゃないか」という投稿が一気に広がった。
2購入履歴は漏れた？
漏れたという発表はない。
DLsite が22日に出した追記は「DLsite 及び DLsite Play は対応が完了し、作品の購入・閲覧が可能」という中身で、不正アクセスや流出の話は出てこない。同じ夜に止まったほかのサービスからも、10月22日の時点で「入られた」「漏れた」という発表は出ていない。
止めたのは、攻撃される前に穴をふさぐため。今回の穴は、使われるとサーバーの中にあるパスワードやログインの鍵まで読まれるおそれがあった（穴を見つけた Wiz の説明）。だから各社は、穴をふさぐ版が出る時間に合わせて先にサイトを閉めた。国も「すぐに直せないならサイトを止めるのも手」と呼びかけていた。
大勢の個人情報が漏れたときは、国の個人情報保護委員会への報告と、本人への連絡が法律で決まっている。
3PHP の穴ってなに？
PHP は、ウェブサイトの裏側で動いているプログラム。買い物かごやログインのような「人によって中身が変わるページ」を作るのに使われていて、世界のウェブサイトのおよそ7割が使っている。
今回見つかった穴は2つ。どちらも、ログインしていない人がサーバーに好きな命令を送り込めてしまう種類のもので、2014年ごろからのほぼすべての PHP に入っていた。見つけた研究者たちは、この穴に「php2shell」という名前をつけている。
ふさぐ版が出ると、元の版と見比べればどこに穴があったかが分かってしまう。だから「出た瞬間に入れ替える」ために、たくさんのサイトが23時の前後に止まった。
4AI が見つけた穴
穴を見つけたのは、海外のセキュリティ会社と AI 会社の研究者たち。3組とも、自分たちの報告で AI を使ったと書いている。
| 見つけた人 | 見つけた日 | AI の使い方 |
|---|---|---|
| Calif の研究者 | 8月1日 | 研究者が当たりをつけた場所を AI エージェントに調べさせて穴を見つけ、見つけた型を AI にまとめさせてさらに探した |
| Wiz の研究チーム | 8月19日 | Gemini と GPT を使って、穴探しから攻撃の試作、直った確認までやった |
| OpenAI | 8月11日 | OpenAI のセキュリティチーム（Codex Security）が、同じ穴を別に報告 |
Wiz は「研究者1人が AI と組んで、世界トップのチームが何か月もかけていた作業を1週間で終えた」と書いている。PHP を管理している団体も、今年に入ってから Anthropic の AI（Claude Mythos）で PHP を調べさせていて、AI を使った報告が一気に増えたと書いている。
ただし、AI に「穴を探して」と頼むだけで見つかったわけではない。Calif は「単純な頼み方で全部のバグを掘り出せる AI は、今のところない」と書いていて、どこを探すかは人が決めている。
直す側には事故も重なった。ふさぐ版を出す前の日に穴の番号がネットに漏れ、Calif がうっかり攻撃の試し打ちの動画を出してしまい、削除してもコピーが SNS で広まった。
5これからどうなる？
ふさぐ版が出た直後から、海外の監視会社（watchTowr・Cloudflare など）は、この穴を狙った攻撃を観測している。watchTowr は「成功した例はまだない。でもそれは長く続かない」と言っている。Cloudflare は、攻撃する側が守りをすり抜けようと中身を書き換えてくるのも見ている。
Wiz は「今回の2つで、同じ型の穴が全部ふさがったわけではない」とも書いている。
心配なのは、次の4つ。
| いつ | どこ | 何が起きた |
|---|---|---|
| 2015年 | Ashley Madison（既婚者向けの出会い系） | 約3,600万アカウントの情報が公開され、利用者に「払わなければ配偶者に知らせる」というメールが届いた |
| 2025年12月 | Pornhub | ハッカー集団が、有料会員の検索・視聴の履歴を約2億件盗んだと主張し、公開すると脅した。Pornhub は「自社のシステムが破られたのではなく、2021年以前に分析会社へ渡したデータ」と説明 |
日本の同人・成人向けの店で、購入履歴が漏れたと発表された例は見つからない。
6DLsite はどう守っている？
DLsite が個人情報の漏洩を発表した記録は見つからない。2024年に、DLsite を装った偽メールへの注意が出ているだけ。守りの仕組みは次のとおり。
| 2段階認証 | ログインのとき、スマホの認証アプリに出る数字も入れる。2024年9月から。DLsite Play・Ci-en・にじGAME・DLsite Nest などにも効く。最初は切ってある |
|---|---|
| ログイン通知 | 新しいパソコンやスマホで初めてログインすると、メールが来る |
| ログイン履歴 | いつ・どの機器で・どこから入ったかを、アカウント管理で見られる |
| カード | カード番号は決済代行のイーコンテクストが預かっていて、DLsite は持っていない。本人確認の3Dセキュアあり。明細には「DLsite」とだけ出る |
| 購入履歴 | アカウントがある間はずっと残る。消したり隠したりする機能は、ヘルプには見当たらない（DLsite Play の本棚から1本ずつ隠すことはできる） |
7自分でできること
「情報が漏れたのでパスワードを変えてください」というメールのリンクは押さない。騒ぎのあとは、こういう偽メールが出やすい。DLsite にはブックマークか、自分で打った URL から入る。
- 2段階認証を入れる。Google Authenticator などの認証アプリを入れて、マイページのアカウント管理から設定する（始めてから30分以内に終える）。入れておけば、パスワードが漏れても他人はログインできない。設定のしかた（DLsite ヘルプ）
- ログイン履歴を一度見る。知らない日時や機器がないか確かめる。見かた（DLsite ヘルプ）
- パスワードを DLsite だけのものにする。今回止まったどこか1つで漏れても、DLsite に入られないようにする
- カードを登録しないで払う。PayPay・コンビニ払い・あと払いでも買える。DLsite の支払い方法
- ビューアアプリで開けないときは、ブラウザから見る。アプリはまだ対応中のことがある。ブラウザの DLsite Play と、購入履歴からのダウンロードは使える
ログインできないときは DLsite にログインできない？、家族に見られたくないときは DLsite は家族にバレる？。
公式ページ・資料
- DLsite：システムメンテナンス実施の可能性について（10/21・追記あり）：止まった機能と、戻ったもの
- The PHP Foundation：今回のセキュリティリリースについて（英語）：見つけた人と、公開までの流れ
- Wiz：php2shell（英語）：AI の使い方と、穴の中身
- Calif：php2shell（英語）：AI エージェントで見つけた経緯
- Impress Watch：PHP の脆弱性で各サービスが予防的に停止
- SecurityWeek：最初の攻撃の試みを観測（英語）
- DLsite ヘルプ：2段階認証とは：効くサービスの一覧
- DLsite 支払い方法：カード情報の扱い
- BleepingComputer：Pornhub の視聴履歴を盗んだと脅迫（英語）
2026-10-22 に各社の公式ページで確認し、同じ日に DLsite のサイトと公式 X を開いて状態を見た。211組織は piyolog の集計。