サイバーセキュリティクラウド（4493）は10月23日、前日比10.74%安の3,450円で取引を終えた。前日22日は22.1%高のストップ高だった。PHPの重大な脆弱性を材料に急騰したセキュリティ関連株は、2日目に反落した。
PHPは、ウェブサイトの構築に広く使われるプログラミング言語である。開発元のPHPプロジェクトは日本時間21日23時、認証なしで外部からサーバーを乗っ取られるおそれがある脆弱性2件の修正版を公開した。22日の東京市場ではストップ高が22銘柄に達し、その多くを情報セキュリティ関連が占めた。
セキュリティ関連3銘柄の前日比（10月22日と23日）
読み方：22日に大きく上げた銘柄ほど、23日に大きく下げた。サイバーセキュリティクラウドは22日にストップ高。出所：Yahoo Financeの日足終値、株探。
主要3銘柄の値動き
| 銘柄 | 20日終値 | 22日終値 | 20日→22日 | 23日終値 | 23日の前日比 | 20日移動平均との乖離（23日） |
|---|---|---|---|---|---|---|
| サイバーセキュリティクラウド（4493） | 3,020円 | 3,865円 | +28.0% | 3,450円 | −10.74% | +18.9% |
| FFRIセキュリティ（3692） | 7,710円 | 8,890円 | +15.3% | 8,270円 | −6.97% | +0.2% |
| トレンドマイクロ（4704） | 6,700円 | 7,314円 | +9.2% | 7,260円 | −0.74% | +4.3% |
上げ幅が大きい銘柄ほど、23日の下げも大きかった。時価総額358億円のサイバーセキュリティクラウドは2日間で28.0%上げ、23日に10.74%下げた。一方、プライム市場の大型株であるトレンドマイクロは、22日に8.69%上げた後、23日の下げは0.74%にとどまった。23日の日中高値7,459円は直近5営業日の高値である。
FFRIセキュリティは22日の日中に9,450円まで上げた後、8,890円で引けた。23日は8,270円。20日移動平均（8,256円）とほぼ同水準まで戻った。10月13日に付けた直近の高値1万780円からは23%安い。
サイバーセキュリティクラウドは23日の夜間取引（PTS）で3,525円と、東証終値を75円上回った（19時31分時点）。20日移動平均との乖離は+18.9%、50日移動平均（2,291円）との乖離は+50.6%である。
22日のストップ高銘柄
株探の集計によると、22日の大引けでストップ高（一時を含む）は22銘柄、ストップ安は1銘柄だった。テーマ別では「情報セキュリティ関連」が目立った。
| 銘柄 | 市場 | 22日の状況 |
|---|---|---|
| セキュアヴェイル（3042） | スタンダード | 2日連続ストップ高、比例配分 |
| ユビキタスAI（3858） | スタンダード | 2日連続ストップ高、比例配分 |
| サイバートラスト（4498） | グロース | 2日連続ストップ高 |
| ショーケース（3909） | スタンダード | 2日連続ストップ高 |
| アクリート（4395） | グロース | 2日連続ストップ高 |
| サイバーセキュリティクラウド（4493） | グロース | ストップ高で引け |
| アズジェント（4288）、SIGG（4386）、BBSec（4398）、バルテスHD（4442） | スタンダード・グロース | ストップ高 |
| ゼンムテック（338A） | グロース | 一時ストップ高 |
セキュアヴェイルは取引時間中に売買が成立せず、9万8,400株の買い注文を残した。ユビキタスAIは14万7,600株の買い注文を残した。サイバートラストは21日に本誌が過熱銘柄として取り上げた銘柄で、その後2日連続でストップ高を付けた。21日時点の分析はこの記事にある。
脆弱性の内容
PHPプロジェクトは20日、重大なセキュリティ修正を21日14時（協定世界時）に公開すると予告した。21日に公開した修正版は8.5.12、8.4.27、8.3.36、8.2.35の4本である。対象の脆弱性はCVE-2026-109618とCVE-2026-109619の2件で、深刻度を示すCVSS v4.0の評価はいずれも9.2だった。
1件目はメモリー不足の処理中に内部データが壊れる問題、2件目は解放済みのメモリーに残った状態を次の処理が使ってしまう問題である。いずれも認証なしでの遠隔コード実行につながりうる。PHP 8.1以前は、PHPプロジェクトによる更新の対象外となっている。
| 日時（日本時間） | 出来事 |
|---|---|
| 10月20日 | PHPプロジェクトが重大なセキュリティ修正の公開を予告 |
| 10月21日 | 情報処理推進機構（IPA）が事前の注意喚起。高市首相がウェブサイトの一時停止も有効との認識を示す |
| 10月21日23時 | 修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開 |
| 10月22日 | 国内でサイトの一時停止が相次ぐ。セキュリティ関連株が急騰、ストップ高22銘柄 |
| 10月23日 | PHPプロジェクトが別の脆弱性（CVE-2026-115560）について設定変更を推奨。セキュリティ関連株は反落 |
関係者の発言
PHPプロジェクトは修正版の公開文で「完全な緩和策はない。更新だけが安全な選択肢だ」と記した。
日本経済新聞によると、高市早苗首相は21日、「ウェブサイトの一時停止も有効」との認識を示した。朝日新聞によると、首相はX（旧ツイッター）で「大至急のお願い」として対応を呼びかけた。
IPAは21日の事前の注意喚起で、PHPグループや各製品の提供元の発表を確認し、修正の公開後に速やかに適用できるよう準備するよう求めた。
国内外の影響
ブルームバーグは22日、メガバンクやANAなど国内企業でサイトの停止が相次いだと報じた。日本経済新聞は、日本がサイトを止めた一方で米国は止めなかったと伝え、脆弱性は8月に発見されていたと報じた。CNNは、AIがこの脆弱性を発見し、影響はインターネットの70%に及ぶと伝えている。この70%は、PHPがウェブサイトのサーバー側で使われる比率を指すとみられる。
米国のセキュリティ株は、日本ほど大きく動いていない。22日の終値は、パロアルトネットワークスが前日比2.2%高の354.92ドル、クラウドストライクが0.6%安の237.94ドル、ゼットスケーラーが2.8%高の237.76ドルだった。22日は米半導体株が急落した日で、ナスダック総合指数は2.6%下げている。
今後の日程
- PHPプロジェクト：CVE-2026-115560について、次の定例の不具合修正版で正式な告知を予定。
- PHP 8.2：2026年12月31日に保守期間が終了。
- サイバーセキュリティクラウド：11月13日に決算発表予定（株探）。
- 10月30日：日銀会合、東京エレクトロンとキオクシアの決算。相場全体の地合いを左右する材料が集中する。
10月16日にはソースネクストの情報流出の後、セキュリティ株が2日で最大24.8%下げた。その経緯はこの記事にまとめた。来週の日米の金融政策と決算の日程はこの記事でも整理している。
主な参照
- 修正版の公開、脆弱性の内容、CVSS評価、8.1以前の扱い、CVE-2026-115560／PHPプロジェクト
- 事前の注意喚起（10月21日）／情報処理推進機構（IPA）
- 高市首相の発言／日本経済新聞（10月21日）、朝日新聞（10月22日）
- 22日のストップ高銘柄と比例配分の買い残、サイバーセキュリティクラウドの決算発表予定日とPTS／株探
- 国内企業のサイト停止／ブルームバーグ（10月22日）
- AIによる発見と影響範囲（70%）／Wiz、CNN
- 株価（日足）／Yahoo Finance
データ基準日：2026年10月23日の東京市場の終値。米国株は22日の終値。PTSの値は23日19時31分時点の夜間取引の値で、終値ではない。移動平均と乖離率は本誌の計算で、情報ベンダーによって差が出る。高市首相の発言、国内企業のサイト停止、脆弱性の発見時期と影響範囲は報道によるもので、本誌は原資料を直接確認できていない。株価の上昇・下落と脆弱性の報道の因果関係は、市場の報道にもとづく推定であり、各社からの業績への影響に関する発表は確認できていない。本記事は情報提供を目的としたものであり、特定の銘柄の売買を推奨するものではない。投資判断はご自身の責任において行っていただきたい。
