「FANZA が夜中から止まっていたけど、何かあったの？」
「見ていた作品や買った履歴が、外に出たりしない？」
2026年10月21日の夜から、国内の多くのサイトが一斉に緊急メンテナンスに入りました。原因として報じられているのは、Webサイトを動かすプログラム言語「PHP」で見つかった重大な脆弱性です。成人向けのサービスでも止まったところがあり、「閲覧履歴が漏れるのでは」と心配になった方も多いと思います。
先にお伝えすると、メンテナンスに入ったこと自体は、情報が漏れたことを意味しません。多くの会社は、被害が出る前に穴をふさぐための予防として止めています。
先に、要点を3つにまとめます。
- メンテナンスは予防：DMM は「お客様の個人情報やデータの漏えいは一切発生しておりません」と発表している
- ログインせずに見ていただけなら：サイトに残るのはアクセスの記録が中心で、名前やメールアドレスとは結びつきにくい
- いまできること：公式のお知らせを見る、「漏えいの確認」をうたうメールを開かない、パスワードを使い回さない
この記事では、何が起きたのか、いまできることは何か、今後どう備えればいいのかを順にまとめます。内容は 2026年10月23日の時点で各社の公式発表と報道で確かめ、10月27日に悪用についての続報を足しました。状況は変わることがあるため、使っているサービスの最新のお知らせもあわせて確認してください。
※成人向けのサービスは、18歳未満の方は利用できません。
何が起きたのか
PHP の脆弱性とは
PHP は、ショッピングサイトやブログ、会員制のサービスなど、世界中の多くのWebサイトで使われているプログラム言語です。
2026年10月21日、PHP の開発チームが重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の修正版を、日本時間の23時に公開しました。深刻度は 10 点満点で 9.2 と評価され、いちばん上の「緊急（Critical）」に分類されています。報道では、条件がそろうと外部からログインせずにサーバー上でプログラムを動かされるおそれがある、と説明されています。
修正版の公開日時が前もって知らされていたため、多くの会社は公開の前後にサービスを止め、修正を当てる作業に入りました。
10月27日の続報：悪用が確認された
10月27日、IPA（情報処理推進機構）は注意喚起のページに、アメリカの政府機関 CISA がこの2件を「悪用された脆弱性」の一覧（KEV カタログ）に載せたことを追記しました。修正を当てていないサイトは、実際に狙われうる段階に入ったということです。
一方で IPA は、国内での攻撃被害の事例は把握していないとしています。公開に合わせて止めて直した会社は、この段階に入る前に穴をふさいでいたことになります。
止まったサイトの数も増えています。調査会社のアシュアードの集計では、10月26日までに止まったことが確認できたサイトやサービスは累計で 1,090 件にのぼり、そのうち約4割は、まだ再開が確認できていません（10月27日のテレビ朝日系の報道）。直すのに時間がかかっているところも多く、使っているサービスがまだ止まっていても、それだけで被害が出たとは限りません。
止まった成人向けのサービス
報道や各社のお知らせで、緊急メンテナンスや一時停止が確認できたものです。
- DMM.com・FANZA：21日22時から。FANZA GAMES も同じ理由で止めた
- DLsite：21日22時45分から、22日の朝まで
- Fantia：22日の未明から昼すぎまで。止めたのはヘルプなど一部のサイトだけで、作品や投稿を見るところは対象外
- pixiv・pixivFANBOX・BOOTH：21日19時から23時半まで
- メロンブックス：21日17時半から、22日の午前まで
上のサービスは、10月24日までにいずれも再開しています。
MGS動画・DUGA・CandFans・XCREAM・U-NEXT・FC2・とらのあな・Ci-en・Skeb は、10月27日の時点で、止めたという公式のお知らせを見つけられませんでした。お知らせが無いのは「影響が無かった」とも「止めなかった」とも限らず、PHP を使っていないか、止めずに修正を当てた可能性もあります。
成人向けのサービスだけが止まったわけではありません。niconico や BASE、ゲーム、保育園向けのサービスまで、同じ理由で一斉に止まりました。
緊急メンテナンスは情報漏えいとは違う
メンテナンスのお知らせを見ると、「何か悪いことが起きたのでは」と感じるのは自然なことです。ただ、今回のメンテナンスの多くは、事故のあとの対応ではなく、事故を防ぐための作業です。
DMM は、ヘルプセンターのお知らせで今回のメンテナンスを「外部ソフトウェアで確認された脆弱性への対応」を目的とした予防的な措置と説明し、「お客様の個人情報やデータの漏えいは一切発生しておりません」と書いています。さくらインターネットも、10月23日17時の時点の調査で、今回の脆弱性による不正アクセスは確認されていないと発表しています。
個人情報が漏れた場合、運営会社は個人情報保護法にもとづいて、本人への通知や国への報告をすることになっています。実際に漏えいが起きた会社は「不正アクセスによる個人情報漏えいに関するお詫び」といった題で、別のお知らせを出しています。
「メンテナンスのお知らせ」は予防、「漏えいのお詫び」は事故のあと。まずはこの2つを読み分けてください。
myfans はどうだったのか
2026年10月27日の時点で、myfans が今回の脆弱性について出したお知らせは、こちらでは見つけられませんでした。止まったのか、影響があったのかは、公式の発表が無いため分かりません。
心配なときは、myfans の公式ヘルプのお知らせと、公式 X アカウントを見てください。まとめサイトや SNS の書き込みには、確かめられていない話も混ざります。判断は、運営会社が自分で出した発表をもとにするのが安心です。
myfans の支払いのしくみや、お金がかかるタイミングは「myfans の料金と使い方」の記事にまとめています。
いまできること
サイトのサーバーを守るのは運営会社の仕事で、利用者が直接できることはありません。それでも、いまのうちに確かめておくと安心なことがあります。
1. 使っているサービスの公式のお知らせを見る
使っているサービスのお知らせのページか公式の X を開いて、「漏えいのお詫び」が出ていないかを見ます。メンテナンスの完了だけが告知されていれば、まずは心配しすぎなくて大丈夫です。
2. 「漏えいの確認」をうたうメールや SMS を開かない
大きなニュースのあとは、それに便乗した偽のメールが増えます。「情報漏えいの確認のため、こちらからログインしてください」といった案内が届いても、メールのリンクからは開かないでください。
確かめるときは、ブックマークや公式アプリなど、いつも使っている入口からログインします。
3. カードの明細を見る
身に覚えのない請求が無いかを見ておきます。もし見つけたら、すぐにカード会社に連絡すれば、利用を止めたり調べてもらったりできます。
4. 同じパスワードを使っているなら変える
同じメールアドレスとパスワードを複数のサイトで使っていると、どこか1か所で漏れたときに、ほかのサイトにまで入られてしまいます。成人向けのサービスとほかのサイトで同じパスワードを使っているなら、この機会に変えておくと安心です。
今後どうするべきか
今回は予防のメンテナンスで済みましたが、同じような騒ぎはこれからも起こりえます。次に慌てないために、備えておけることをまとめます。
漏えいの発表が出たときの動き方
もし使っているサービスから漏えいのお知らせが出たら、次の順に動きます。
- 届いた通知や公式のお知らせで、どの情報が漏れたのか（メールアドレス・パスワード・購入履歴・カード情報など）を確かめる
- そのサービスのパスワードを変える。同じパスワードを使っているほかのサイトも変える
- カード情報が含まれていたら、カード会社に連絡して、カードを止めるか作り直すかを相談する
通知に書かれた問い合わせ先は、公式サイトに載っているものと同じかを確かめてから使ってください。漏えいのあとにも、便乗した偽の連絡が出回ります。
普段からの備え
いちばん効くのは、サービスごとに別のパスワードにすることです。どこか1か所で漏れても、被害がそこで止まります。覚えきれないときは、スマホやブラウザのパスワードを保存する機能を使うと楽です。
ほかにも、次のような備えがあります。
- 二段階認証を使う：ログインのときに、パスワードに加えて SMS や認証アプリのコードを求める仕組み。用意されているサービスでは設定しておくと、パスワードが漏れても入られにくくなる
- 成人向けのサービス用にメールアドレスを分ける：普段のメールと別のアドレスで登録しておけば、万一漏れても、日常のアカウントや名前と結びつきにくい
- 使っていないサービスは退会する：登録したまま放っておくサービスが多いほど、情報が置かれている場所も増える。退会したあとの情報の扱いはサービスごとに違うので、プライバシーポリシーもあわせて確かめる
サイトにはどんな情報が残るのかを知っておく
何が漏れると困るのかを知っておくと、備え方も選びやすくなります。
ログインして使うサービスでは、メールアドレスやログイン ID、購入した作品やプランの履歴、フォローしているクリエイターなどが、アカウントの情報として運営会社のサーバーに残ります。本人確認で電話番号を登録するサービスもあります。
クレジットカードで払うとき、カード番号そのものはサイトの運営会社ではなく、決済代行の会社が預かる仕組みが広く使われています。この場合、サイト側のサーバーが狙われても、カード番号までは手に入りにくくなります。どの仕組みかはサービスごとに違うため、気になるときは支払いのヘルプを確かめてください。
ログインせずにページを見ていただけなら、サイトに残るのは一般的なアクセスの記録が中心で、名前やメールアドレスとは結びつきにくいものです。一方で、自分のスマホやパソコンのブラウザには、見たページの履歴が残ります。家族とスマホを共有している場合は、こちらのほうが身近な心配かもしれません。
運営元がはっきりしたサービスを選ぶ
今回のような騒ぎのとき、運営会社が自分の名前でお知らせを出し、状況を説明してくれるかどうかで、安心の度合いは大きく変わります。運営会社や連絡先がはっきりしていて、お知らせの窓口があるサービスを選んでおくと、いざというときに確かめる先に迷いません。
反対に、運営元の分からない無料サイトでは、こうした説明はまず期待できません。どんな危険があるのかは、無料アダルトサイトの危険性をまとめた記事で7つに分けて説明しています。無料で試したいときは、公式サイトの無料サンプルを使うのが安心です。
よくある質問
ログインせずに見ていただけでも、閲覧履歴は漏れる？
ログインしていなければ、サイトのサーバーに残るのは、どの端末からいつどのページが開かれたかといったアクセスの記録が中心です。会員の情報とは結びついていないため、万一サーバーが狙われても、名前やメールアドレスと一緒に閲覧の履歴が出ていくことは考えにくいものです。気をつけたいのは、自分のスマホやパソコンのブラウザに残る履歴のほうです。
メンテナンス中にログインしていたら危ない？
メンテナンス中はサービスに入れないのがふつうなので、ログインしていた状態でも、それだけで情報が漏れることはありません。再開後にいつもどおりログインしてかまいません。再開したのにメンテナンスの画面が出続けるときは、ブラウザのキャッシュが残っていることがあります。
パスワードは変えたほうがいい？
運営会社から漏えいの発表が無いなら、急いで変える必要はありません。ただ、ほかのサイトと同じパスワードを使っているなら、この機会に変えておくと安心です。
退会すれば情報は消える？
退会したあとの情報の扱いはサービスごとに決まっていて、法律や会計の決まりで一定の期間は残す場合もあります。気になるときは、そのサービスのプライバシーポリシーを確かめてください。
myfans のプレミアム会員をやめたいときの手順は、「myfans のプレミアム会員の解約と返金」の記事で説明しています。
まとめ
たくさんのサイトが一斉に止まると、どうしても大ごとに見えます。ただ、修正版の公開に合わせて止めて直すのは、運営会社がきちんと対応しているからこそ起きることでもあります。
メンテナンスと漏えいを読み分け、判断は公式の発表で。そのうえで、パスワードを使い回さないことが、いちばん確かな備えです。
あわせて読みたい
安心して楽しめるところを探したいときは、次の記事もどうぞ。
始める前に知っておく
好みのクリエイターを探す
