事例から見る脆弱性対応策とサイバー危機下の企業生存方法

深夜23時30分の奇跡と阿鼻叫喚の日本列島

2026年10月21日の夜、日本のインターネット空間はちょっとした世紀末を迎えていました。

静岡銀行がネット取引を緊急停止し、京阪ホールディングスと阪神電鉄がホームページのシャッターを下ろす。

スクウェア・エニックス、ブシロード、バンダイチャンネル、セガ、ソニー、タカラトミーといったエンタメ界の巨人たちが次々と緊急メンテナンスの看板を掲げました。

サイゲームスのウマ娘やグランブルーファンタジー、ネットショッピングのBASE、保育園管理のコドモン、DMM.com、ニコニコ、さくらインターネットまでが一斉に沈黙したのです。

極めつけは、爆速表示の代名詞として人類の遺産扱いされている阿部寛のホームページまでが緊急メンテナンスに突入する事態。

世界中のウェブサイトの69.3%を動かしているプログラミング言語のPHPに、認証なしでサーバーを乗っ取られる深刻度9.2の欠陥が2件も同時に発覚したのですから無理もありません。

通称、PHP2Shell。ところが、大企業やメガバンクのシステム部門が徹夜覚悟で青ざめ、翌10月22日の昼になってもソニーやスクウェア・エニックスやセガが再開時期すら未定と頭を抱えていたその裏で、信じられないスピードで戦場から生還した企業がひとつだけありました。

イラストコミュニケーションサービスを運営するピクシブです。

ピクシブは10月21日の19時にサービスの安全確保を理由に緊急メンテナンスへ入ると、当初は翌22日の未明までかかると予告していたにもかかわらず、その日の23時30分には何事もなかったかのように全サービスを再開させてしまいました。

Xのタイムラインがざわついたのも当然で、あまりの速さからPixivに有能エンジニアがいる可能性が浮上、というポストが瞬く間に拡散されたわけです。

今さら浮上もなにも、最初からいるんです。

ただ、世間の人たちは19時から23時30分までの4時間半で直したから速いと褒めていますが、裏側のログを覗き込むと、事態はそんな生ぬるい話ではありませんでした。

彼らが実際に修正パッチを手にしてからメンテナンス画面を解除するまでにかかった正味の時間は、なんとたったの35分だったのです。

宅配ピザだって金曜の夜ならもうちょっと待たせるじゃないですか。なぜ日本中の上場企業が何十時間もフリーズするなかで、ピクシブだけが35分でケリをつけられたのか。

14年間潜伏した時限爆弾と前代未聞のフライング漏えい劇

そもそも今回のPHP2Shellと呼ばれる2件の脆弱性、CVE-2026-109618とCVE-2026-109619がなぜこれほどまでに恐れられたのか。

実はこのバグ、2012年に登場したPHP 5.4の時代から14年間も誰にも気づかれずにプログラムの心臓部に潜んでいた時限爆弾でした。

それを見つけたのが人間ではなく、OpenAIの最新AIモデルであるGPT-5.6 Solと、Google傘下のWizが駆使したGemini 4 ArgonやWiz Atlas、さらにはAnthropicのClaude Mythosといった最先端AIたちの合同監査だったというから背筋が凍ります。

人間が14年間見落としていたC言語レベルのわずかなメモリのほころびを、AIが掘り返してしまったわけです。

しかもこのバグのタチの悪さは、ピタゴラスイッチも真っ青の針の穴を通すような仕組みにありました。

普通のバグなら、ウェブサイト側でファイルアップロード機能を消したり、ただいまメンテナンス中ですという画面を出したりすれば防げる気がしますよね。

ところがPHP2Shellは、アプリケーションのプログラムが1行でも動くより前、サーバーが外からの通信データを受け取ってC言語で中身を仕分けする最初の玄関口で発動します。

たとえるなら、お店のレジ係が偽札を見破る訓練をどれだけ積んでいても、客が自動ドアを踏んだ瞬間に建物全体のブレーカーが落ちて金庫の鍵が外れるようなものです。

8MBの送信制限をすり抜ける特殊なデータを送り込み、サーバーのメモリ上限である128MBにピタリと到達する瞬間に、C言語の緊急脱出機能であるzend_bailoutとlongjmpを暴発させる。

するとメモリの空き地を指し示すポインタが狂い、攻撃者の好きな命令を実行させてしまいます。

だから画面にHello Worldと表示するだけのサイトだろうが、アプリ側でメンテナンス表示を出していようが、PHPが動いているだけで玄関ごと吹き飛ぶ構造になっていました。

さらに現場のエンジニアを絶望の淵に叩き込んだのが、セキュリティ業界によるお粗末極まりないフライング漏えい劇です。

本来、修正パッチは10月22日の23時に公開されるスケジュールでした。

ところが10月21日の早朝にSNSで情報が漏れ出し、PHP開発チームは急遽リリースを丸1日前倒しして21日の23時に変更します。

その直後の21日午前5時ごろ、あろうことか脆弱性の発見に関わった米セキュリティ企業のCalifが、複数のターゲットを実際に攻撃してみせる概念実証の動画を誤ってネットに公開してしまったのです。

慌てて消したところで時すでに遅く、動画のコピーは世界中のハッカーに拡散されました。

さらに追い打ちをかけるように、事前に修正データを受け取っていた米セキュリティ企業のChainguardまでが情報解禁の約束を破り、予定より6時間以上も早く修正済みの環境を公開してしまいます。

泥棒に金庫の弱点を実演してみせた直後に、まだ街のみんなに新しい鍵が配られていない段階で、金庫メーカーの設計図だけを泥棒の目の前にばら撒いたようなものですよ。支援団体のPHP財団が名指しでブチ切れたのも当然というものでしょう。

結果はどうなったか。

CloudflareのCEOであるマシュー・プリンス氏が10月22日に明かした数字を見れば、その惨状が一目でわかります。

詳細が公表される前の10時間ですでに数千件の攻撃が観測されていたのが、公表からわずか45分で数万件に跳ね上がり、2時間以内に数十万件、そしてあっという間に数百万件の総当たり攻撃へと膨れ上がったのです。

ピクシブがパッチ公開予定時刻の4時間も前である19時の時点で、すべての公開エンドポイントを遮断して完全なメンテナンスモードに突入したのは、この無法地帯からユーザーとサーバーを丸ごと隔離する先手を打ったからにほかなりません。

そして22時41分、予定より19分早くPHP 8.5.12の修正パッチが世に放たれた瞬間、ピクシブのエンジニアたちによる35分間の超高速オペレーションが幕を開けました。

23年新卒が回す6分ビルドと200GBを5分で配る怪物インフラ

翌10月22日、ピクシブの社内ブログであるpixiv insideに、Platform Division Infrastructure Unitに所属するエンジニアのpicopico氏がその一部始終を克明に記した記事を公開しました。

ここでまず驚かされるのが、この大一番の舞台裏を指揮し、理路整然と技術解説を書いているpicopico氏が、2023年4月に新卒入社したばかりの4年目エンジニアだという事実です。世間の大企業ならまだ会議室の予約と議事録の清書で日が暮れている年次じゃないですか。

しかも、さらにクレイジーな事実があります。

ピクシブが長年使い続けてきたベアメタルのApacheサーバーから、コンテナ管理基盤であるKubernetesへ本番環境の完全移行を終えたのは、なんとこの緊急メンテナンスのわずか1週間前だったのです。

引っ越しの段ボールを片付けた翌週に巨大台風が直撃したようなタイミングですが、実はこの引っ越しこそが35分復旧の最大の勝因でした。

世界中のエンジニアが23時のパッチ公開を今か今かと待ち構えていたあの夜、誰もが同じ落とし穴にハマっていました。

PHPのソースコードが公開されても、それを梱包したDocker公式イメージがDocker Hubに並ぶまでにはタイムラグがあります。

そのうえ世界中のサーバー管理者が一斉にダウンロードへ殺到すれば、回線がパンクして落ちてくる気配すらなくなります。

特売日のスーパーのレジに1万人が並んでいる状態ですね。そこでピクシブのインフラ陣は、公式イメージの到着を待つルートと、公開されたばかりのPHPの生ソースコードから自前でコンテナを組み立てるルートの2本のマージリクエストを事前に用意して待ち構えていました。

docker-library/phpをローカルに複製し、Docker BuildxのBake機能を組み込むことで、パッチが出た瞬間にバージョン番号とURLとSHA256ダイジェストの3つを差し替えるだけで即座に自前ビルドが走るよう仕掛けを済ませていたのです。

22時41分にパッチの公開を検知した彼らは、わずか1分後の22時42分にビルドを開始し、数GBもある巨大なコンテナイメージのフルビルドをたった6分で完了させています。

なぜゼロからの組み立てが6分で終わるのか。

そこには、普段から1日30回ものリリースを回すために磨き上げられた化け物じみたCI基盤の存在がありました。

彼らは64コア128スレッドを誇るAMD EPYC 2 CPUを搭載した自前サーバーをGitLab Runnerとして稼働させ、5万件を超えるPHPやMySQLやRedisの結合テストをマルチスレッドで1分以内に叩き潰す環境を持っています。

さらに同じマシン上に独立したBuildKitを常駐させ、Unixドメインソケットで直結することで、超高速なNVMeディスクの上にOSパッケージやComposerのキャッシュを永続化させていました。

加えてDockerfileの記述にCOPY --linkという仕組みを取り入れ、土台のPHPが丸ごと入れ替わっても上の階層にある重いアセットデータを再利用できるように工夫したことで、転送量を30%から40%も削ぎ落としていたのです。

極めつけは、22時56分から23時16分までのデプロイ工程です。

数GBのイメージを数十台のKubernetesノードへ一斉に配れば、総転送量は200GB近くに達します。

普通の設計なら外のネットワークへ出るNATゲートウェイが窒息して止まるところでしょう。

しかしピクシブは、同じLANのネットワーク内にレジストリプロキシを配置し、外の通信網を通さず内側の10Gbps回線で直接イメージを配る構造を作っていました。

その結果、約200GBの塊をクラスター全体へ配り終えるのにかかった時間はわずか5分以内。

あとはArgo CDが自動で本番環境を書き換え、メンテナンス明けに飢えたユーザーが一斉に押し寄せても耐えられるようにHPAの最小レプリカ数を事前に引き上げました。

そして最後は、普段使うAnsibleやAWXのパイプラインすらバイパスする手動スクリプトを一発叩いて、23時16分に全ドメインのゲートを解放したのです。

もちろん、その裏では人間味あふれるドタバタ劇も起きていました。

実は一部のマイナーな窓口にメンテナンスモードの仕組みが入っておらず、19時の遮断に間に合わせるために既存の仕組みを流用して突貫工事で塞いだりしています。

別基盤で動いているピクシブ百科事典のビルドに倍の12分がかかって冷や汗をかいたり、PHP拡張モジュールを取ってくるPECLのサーバーが不安定になったせいで、翌10月22日のうちに新しいPIEという仕組みへ即日乗り換えを完了させたりもしています。

トラブルが起きても翌日にはもう根本治療まで終わらせているのですから、もはや笑うしかありません。

報奨金300万円で世界のハッカーを雇う用心棒エコノミクスと怪物エンジニア軍団

それにしても、なぜピクシブにはここまで異常なまでの危機対応能力とセキュリティ意識が根付いているのか気になりますよね。

背景にあるのは、彼らが戦っているフィールドの過酷さです。あまり知られていませんが、ピクシブは新規登録ユーザーの70%以上が海外からという世界230の国と地域にまたがるグローバルプラットフォームであり、世界中の攻撃者から24時間365日狙われ続ける立場にあります。

だからこそ彼らは、自社の社員だけで守り切るという傲慢な幻想をとうの昔に捨てていました。

その象徴が、2016年4月から導入しているバグバウンティ、すなわち脆弱性報奨金制度です。社内のセキュリティエンジニアであるkobo氏が明かしたデータによると、ピクシブは日本初のプラットフォームであるBugBounty.jpを皮切りに、2018年7月からは世界最大のハッカーコミュニティを抱えるHackerOneにも参戦しています。

最初は1件あたり上限5万円だった報奨金を、2016年後半には10万円、2018年初頭には20万円、30万円へと段階を踏んで引き上げました。

制度開始から2年半あまりで294件もの報告を集め、総額300万円近い報奨金を世界中のホワイトハッカーに支払ってきたのです。

特に上限額を引き上げてHackerOneを導入した2018年7月以降のわずか数ヶ月だけで、半分にあたる約140万円を危険度の高い報告に支払っています。

これは言い換えれば、世界中の凄腕スナイパーたちに小遣いを渡して、自社の城壁に隙間がないか毎日ライフルで試し撃ちしてもらっているようなものです。

さらに2019年には社内専門組織のpixiv CSIRTを立ち上げ、Ruby on Railsで動くBOOTHやpixivコミックなどの関連サービスでも外部の専門家を招いたソースコードレベルの健康診断であるRailsプロダクト診断を回すなど、平時から膿を出し切る仕組みを徹底してきました。

そして、こうした仕組みを動かしている社内のエンジニア陣を調べていくと、まあ出てくるわ出てくるわ、一癖も二癖もある怪物たちのオンパレードなのです。

まず技術陣のトップに立つCTOの道井俊介氏からしてエピソードが強烈すぎます。

久留米高専から九州工業大学、筑波大学大学院へと進んだ道井氏が、インターンとして初めてピクシブのオフィスがある千駄ヶ谷駅に降り立ったのは、なんと2011年3月11日の東日本大震災が発生したまさにその瞬間でした。

電車も止まり電話も通じないなか、揺れが続くビルを非常階段で駆け上がってオフィスにたどり着き、そのまま2012年4月に新卒入社しています。

当時は社員30人、インフラ担当は道井氏を含めてたった3人でした。

社内のベニヤ板の上にマザーボードをむき出しで並べていた時代から、トラフィックを7Gbpsから35Gbpsへ、ユーザー数を440万人から4000万人規模へと10倍に引き上げ、福島などのデータセンターへ基盤を移管し、さくらインターネットとの共同事業であるImageFluxまで立ち上げた生え抜きの親分です。

さらに脇を固める面々も負けていません。

今回の主役となったPHPの領域には、2012年11月に入社した宇佐美健太氏というエンジニアが鎮座しています。

北海道科学大学時代に札幌のSSL証明書販売代理店のアルバイトで公開鍵基盤の基礎を叩き込み、就職先の当てもないまま上京して2ヶ月だけフリーランスをしたのちにピクシブへ転がり込んだ人物です。

入社までPHPは未経験だったにもかかわらず、今や全国のPHPカンファレンスで、ふつうのPHPがpixivになるまで、といった講演を行って飛び回り、入門書の監修まで手がけるPHP界の重鎮となりました。

彼が社内に持ち込んだ最大の功績が、プログラムを動かす前にバグを見つけ出すスタティック解析の仕組みです。

PHPは自由すぎてすぐ壊れるという世間の悪評に対し、誰が書いても安全なコードになる検査レーンを敷き詰め、全社の緊急エラー対応や技術支援を一手に引き受けています。

かと思えば、Platform Divisionの配信ユニットを率いる中村宇作氏の経歴を見ると、思わず二度見してしまいます。

1973年生まれ、東京大学教養学部を経て、2000年からプログラミング言語Rubyのコアコミッターを務め、Windows版の開発や安定版の保守を担い、Ruby公式サイトに世界で一番多く記事を書いたという生ける伝説が、2018年3月にふらりと中途入社しているのです。

C言語を母語と呼び、難解極まるプログラムの芸術コンテストであるTRICKで2013年と2015年に入賞している超大物が、なぜ平均年齢の若いピクシブに入ったのか。

本人が語った理由のひとつが、「千駄ヶ谷のオフィスが将棋会館に近くて嬉しかったから」というのです。

他にも、小学5年生で親にサーバーを借りてもらい自宅のWindows機でホームページを公開していた2016年新卒の山根祥之氏が、購買部署のない社内で1TBメモリの巨大サーバーを自らベンダーと価格交渉して買い付け、正月特番のCM放送に合わせてオフィスにコタツを5台並べてトラフィック急増を迎え撃つなど、インフラを自分たちの箱庭として愛でる猛者たちが約180人のエンジニア組織を形成しているのです。

1週間で6200万件が吹き飛ぶ惨状と侵入27秒のAIサイバー戦争

さて、ピクシブの痛快な武勇伝を聞いて胸がすく思いがしたところで、目を外の世界に向けてみましょう。

そこには、笑えないどころか直視するのもためらわれる血の海が広がっています。

なにしろ2026年10月というたった1ヶ月の間だけでも、日本を代表する名だたる企業が次々とサイバー攻撃の餌食になっているのです。

10月15日には、よりによってウイルス対策ソフトのZEROシリーズやパスワード管理の1Passwordを販売しているソースネクストが、会員情報取得APIを悪用されて氏名やパスワードを含む最大2251万9960件もの個人情報を抜かれたと発表しました。

しかも10月9日の午前10時に侵入されてから10月13日の午前9時まで、丸4日間も気づかなかったというおまけ付きです。

鍵屋さんが自宅の勝手口を4日間開けっ放しにして泥棒に家財道具を全部持っていかれたような話で、SNSではセキュリティソフトも売ってるのにと総ツッコミを浴びました。

続く10月19日にはBASE子会社のEストアーが、ショップサーブの脆弱性を突かれて7858店舗、約2335万6000人分の情報と約209万人分のクレジットカード番号の一部を漏えいさせたと調査結果を公表。

10月20日にはニフティが光回線の申込データ最大54万2513件の漏えいを発表し、10月21日には電子書籍大手のコミックシーモアがシステムログ最大約420万件を覗き見られてサービス再開時期すら未定の無期限停止に追い込まれました。

さらに10月22日にはカプコンが全世界で1177万4247件のCAPCOM ID情報漏えいを発表するに至っています。

たった1週間で合計6200万件を超えるデータが吹き飛んでいる計算です。

なぜここまで一方的な虐殺が起きているのか。

それは攻撃側のスピードが、もはや人間の反射神経で対応できる領域を完全に超えてしまったからです。

CrowdStrikeが発表した2026年の脅威レポートとMandiantのM-Trends 2026の数字を並べると、現代のサイバー空間がいかに異常な世界かが浮き彫りになります。AIを武装した攻撃者による襲撃は前年比で+89%も急増しました。

攻撃者が最初の1台に侵入してから社内ネットワークの別のシステムへ横展開を始めるまでの平均時間、いわゆるブレイクアウトタイムは、2021年の98分、2024年の48分から、直近ではついに29分へと65%も短縮されたのです。

さらに観測された最速記録は、なんと27秒。

カップ焼きそばのお湯を注いでから3分待つ間に、攻撃者はもう6回も社内システムを制圧して、4分後にはデータの持ち出しまで始めているのです。

初期侵入を果たしたブローカーがランサムウェア実行部隊へバトンを渡す時間の中央値も、2022年には8時間以上かかっていたのが、今やたったの22秒にまで縮まりました。

しかも侵入の82%はウイルスすら使わず、盗んだ正規のIDとパスワードで堂々と正面玄関から入ってくるため、被害企業が異変に気づくまでの潜伏期間の中央値は14日間、外部から指摘されて気づくケースでは25日間も放置されています。

上場企業の70.1%が放置する時限爆弾と次世代エンジニア3つの必須条件
この27秒で侵入してくるAI時代の攻撃者を前にして、これからのエンジニアに求められる要件やスキルは根底から書き換わりました。

世界のセキュリティ専門家団体であるISC2が2025年12月に1万6029人を対象に実施した調査では、世界のセキュリティ人材不足が前年比+19%増の480万人に達した一方で、ISC2は長年続けてきた単なる頭数の不足人数を出すこと自体をやめてしまいました。

AIの普及で単純作業の頭数を揃えても意味がなくなり、59%の組織が直面しているのは頭数ではなく深刻なスキル不足だと結論づけたからです。

では、ピクシブの事例や世界の最新データから導き出される、これからの時代を生き抜くエンジニアの3つの必須スキルとは何か。

1つ目は、サーバーを盆栽のように手で撫でて直すのではなく、30分以内にシステム全体を焼き直して再配備できるクラウドネイティブとプラットフォームエンジニアリングの実装力です。

GMOインターネットグループが2026年6月に東証上場企業3941社の2万4995サイトを調査したところ、PHPを使っている上場企業サイトのじつに70.1%、1860サイトがすでに公式サポートの切れた古いバージョンを放置しており、そのうち447サイトは2018年に寿命を終えたPHP 5以前で動いているという衝撃の事実が判明しました。

世界全体でもPHPサイトの48.4%がサポート切れの放置状態です。一度作ったサーバーが怖くて触れない、アップデートしたらどこが壊れるかわからないという秘伝のタレ状態では、今回のような緊急パッチが出た瞬間に詰みます。

DockerのBuildKitやBake、Kubernetes、Terraformによるコード化、Argo CDによるGitOpsを自在に操り、いつでも更地から6分でビルドして5分で配り直せる仕組みを作れるエンジニアこそが最強の防衛戦力になります。

2つ目は、開発の初期段階から安全を組み込むシフトレフトとDevSecOpsのスキルです。ピクシブの宇佐美氏がPHPに検査ツールを埋め込んでコードを動かさずにバグを潰したように、SASTやDASTといった自動検査やポリシーのコード化をパイプラインに統合する力ですね。

さらにOpenAIが今回のPHP2Shellを受けて提唱した5段階の防衛フレームワークでも、そもそもメモリ破壊が起きないメモリ安全な言語への移行や、万が一突破されても被害を閉じ込めるサンドボックス化が掲げられています。

PECLが不安定と見れば翌日にはPIEへ移行するような、依存ライブラリの素早い目利きと差し替え能力も欠かせません。

3つ目は、AIとAPIを取り巻く人間以外のアイデンティティの統制スキルです。

IBMとPonemon Instituteが2026年7月29日に公表したデータ侵害コスト調査レポートによれば、データ漏えい1件あたりの世界平均コストは前年比+12%増の499万米ドル、日本円にして約7億5000万円と過去最高を更新しました。

米国平均に至っては1150万米ドルです。なかでも恐ろしいのが、社員が会社に無断でAIツールを使うシャドーAI絡みの事故が前年の20%から43%へと倍増し、平均539万米ドルの被害を出している点です。

しかもAI関連の侵害を受けた組織の92%はAIへのアクセス制御すら設定しておらず、AIワークフローを動かすAPIやエージェントといった人間以外のIDを保護できている組織は46%しかありません。

逆に言えば、IAMによる最小権限の徹底だけで被害額は平均より22万5622米ドル下がり、暗号鍵やシークレットの適切な管理で19万8933米ドルもの損失を防げる計算になります。

FIDO2やパスキーなどの多要素認証の強制と、APIやプロンプトの通信をリアルタイムで検閲する設計力がエンジニアの必須科目になるわけです。

年収611万円の壁を超える会社の生き残り策と日常という最強の防壁

こうしたスーパーエンジニアをどう確保し、会社としてどう生き残るか。ここで経営陣は残酷な採用市場の数字を直視しなければなりません。

2026年の米国市場では、標準クラスのDevOpsエンジニアの平均年収が14万4141米ドル、SREが16万3969米ドル、社内基盤を作るプラットフォームエンジニアが17万2038米ドル、そしてシニアのDevSecOpsエンジニアともなれば16万5000米ドルから20万4000米ドル以上、日本円で2500万円から3000万円超が相場です。

Kubernetesの実技試験であるCKAの資格をひとつ持っているだけで、年収が1万5000米ドルから2万5000米ドルも跳ね上がります。

一方、日本の現実はどうか。厚生労働省のデータやギークリーが2026年8月にまとめた4548人対象の調査によると、日本国内にいる20万7400人のセキュリティエンジニアの平均年齢は42.2歳、平均年収は609万8000円から611万円、上限でも1200万円程度にとどまっています。

ピクシブの中途採用求人を見ても、予定年収は552万円から936万円前後が中心です。

では、外資系のように1人に3000万円を払えない日本の企業は、どうやってピクシブのような鉄壁の組織を作り、サイバー空間のサバイバルを勝ち抜けばいいのか。

生き残り施策の1つ目は、セキュリティを単なる保険やコストと捉えるのをやめ、普段の開発スピードを上げる基盤投資とAI自動化へ予算を振り向けることです。

警察庁が発表した2026年上半期の統計では、国内のランサムウェア被害は123件と半期で過去最多を記録し、その60%が中小企業、侵入経路の50%が放置されたVPN機器でした。

被害組織の60%が調査と復旧に1000万円以上を費やし、1ヶ月未満に復旧できた組織は50%未満にすぎません。

アサヒグループホールディングスは2025年9月のランサムウェア感染で191万件の情報流出の可能性を発表し、受注出荷システムの再開まで約2ヶ月を要しました。

KADOKAWAに至っては、ニコニコなどを襲ったサイバー攻撃で売上高が84億円吹き飛び、クリエイター補償や復旧費用で24億1300万円もの特別損失を計上し、2025年3月期の最終利益が-35%減の73億円へと急降下しています。

日本情報システム・ユーザー協会の調査によれば、日本企業の売上高に対するIT投資比率は平均わずか2.0%で、2026年度に向けて43.7%の企業がAIの利用料増加で予算を増やす一方、ランサムウェアからの復旧手順の明確化に取り組んでいる企業はたった21.7%しかありません。

しかしIBMの2026年レポートが証明しているとおり、セキュリティ運用にAIと自動化をフル導入している36%の組織は、未導入の組織に比べて被害コストを193万米ドル、約2億9000万円も削減し、封じ込めまでの日数を280日から215日へと65日も短縮しています。

ピクシブが35分で復旧できたのも、セキュリティ専用のお飾りツールを買ったからではなく、普段から1日30回リリースするためのCI基盤と自動化に投資していたからこそです。

生き残り施策の2つ目は、バグバウンティと外部診断という外の目線の徹底導入です。

中堅企業がプライベートなバグバウンティプログラムを運用する年間コストは、世界相場で4万米ドルから15万米ドル、HackerOneでの年間平均支払額は約4万2000米ドルです。

ピクシブに至っては2年半で支払った報奨金は約300万円でした。たった数百万円から1500万円程度の投資で、一度起きれば平均7億5000万円、

KADOKAWAクラスなら24億円もの特別損失が出る大惨事を未然に防げるのですから、投資対効果は15倍以上という驚異の数字になります。

さらに2026年9月11日からは欧州のサイバーレジリエンス法によって、悪用された脆弱性の24時間以内の早期警戒報告と72時間以内の通知が義務化されるなど、脆弱性を受け付ける窓口を持たない企業は市場から退場させられる
時代に入っています。

そして3つ目、これこそが最大の急所ですが、エンジニアの技術への好奇心とプライドを全力で満たす組織文化を作ることです。

じつはピクシブのインフラとセキュリティを担うエンジニアであるnamazu氏が、あの緊急メンテナンスのわずか1ヶ月半前である2026年9月2日に、社内の空気感がよくわかるブログ記事を公開していました。

Kubernetesへの移行を進めるにあたり、一部の熟練メンバーに作業が集中して属人化するのを防ぐため、インフラチームの有志12人が難関の実技試験であるCKAとCKADの同時受験に挑んだという記録です。

ここで会社側がとった行動が実に粋でした。

1人あたり約395米ドルする受験チケットと公式eラーニングのセットを12人分すべて会社が全額負担しただけでなく、業務時間中に勉強することまで公式に認めたのです。

メンバーたちは専用Slackチャンネルで模擬試験の攻略法を共有し、週1回のオンラインもくもく会で励まし合い、カメラで部屋の四隅やメガネや耳の裏まで検査される厳格な試験に挑んで、期間内に7人が見事合格を果たしました。

その結果、チーム全員が共通言語でマニフェストを読み解き、迷わずコマンドを叩けるようになった直後に、あの10月21日のPHP2Shellが襲来したわけです。

もしあの9月の時点で、詳しい人にお任せしますという受け身の空気のままだったら、1週間前に移行したばかりのKubernetes上で35分復旧なんて芸当ができたはずがありません。

地方のカンファレンスで趣味の技術を半分混ぜて発表する社員に旅費と宿泊費を出張扱いでポンと出し、1TBメモリのサーバー選定を現場のエンジニアに任せてワクワクさせ、いざ有事の夜には高市首相のポストを待つまでもなく19時にサービスを止める決断を経営陣が支持する。

世間の人々は、23時30分に流れてきたメンテナンス終了のポストを見て、ピクシブには魔法使いのような天才エンジニアがいると拍手を送りました。

けれどもその35分間の奇跡の正体は、事件が起きた夜に誰かが徹夜で発揮した火事場の馬鹿力ではなく、事件など何も起きていない普段の364日間に、エンジニアが面白がって自分の箱庭を耕し続けられるように会社が払い続けてきた敬意と投資の結晶そのものなのです。

参考文献

1. ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急, https://news.livedoor.com/topics/detail/32623933/

2. 「PHP」脆弱性に関するメンテナンス状況。「Pixiv」「BOOTH, https://news.denfaminicogamer.jp/news/2610222c

3. 国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策, https://www.watch.impress.co.jp/docs/news/2150159.html

4. https://www.itmedia.co.jp/news/article/2610/22/2000002483/

5. 【緊急】PHPの脆弱性をわかりやすく図解解説｜確認すべき5つのこと, https://pivo-te.co.jp/article/1315

6. PHPの脆弱性「php2shell」(CVE-2026-109618/CVE-2026-109619), https://success.trendmicro.com/ja-jp/solution/KA-0024791

7. PHP usage statistics, October 2026 - W3Techs, https://w3techs.com/technologies/comparison/pl-php?utm_source=chatgpt.com

8. PHP 8.5.12の緊急リリースにpixivはどう対応したか, https://inside.pixiv.blog/2026/10/22/193321

9. PHP「緊急」脆弱性悪用の試み、数百万件に CloudflareのCEOが報告, https://www.itmedia.co.jp/news/article/2610/22/2000002516/

10. pixiv 漏洩 - Yahoo!検索, https://search.yahoo.co.jp/realtime/search/Pixiv/?ei=UTF-8&md=h&rkf=1&ifr=tl_unit&p=pixiv%20%E6%BC%8F%E6%B4%A9

11. pixivのメンテナンスはなぜ？2026年10月21日の理由・PHP脆弱性と, https://funtrivia.hatenablog.com/entry/2026/10/22/091645

12. 「Pixiv」のYahoo!リアルタイム検索 - X（旧Twitter）をリアルタイム, https://search.yahoo.co.jp/realtime/search/Pixiv/?ei=UTF-8&md=h&p=%23NIKKE&rkf=1&ifr=tl_hash

13. PHPで動くサイトの何割がサポート切れか｜Web言語シェア69%と, https://kashikapedia.com/php-share-data/

14. PHPの脆弱性「PHP2Shell」とは？影響する環境と - 株式会社INVOX, https://in-vox.com/blog/php2shell

15. https://blog.serverworks.co.jp/php2shell-memory-limit-vulnerability

16. PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げ, https://www.itmedia.co.jp/news/article/2610/22/2000002525/

17. メンテナンスモードでは PHP の脆弱性「php2shell」は防げません, https://web-soudan.co.jp/topics/7215/

18. PHP2Shell脆弱性（CVE-2026-109618）とは？PHPのRCEの影響, https://ai-revolution.co.jp/media/php2shell-vulnerability/

19. 記事一覧 6ページ目 - pixiv inside, https://inside.pixiv.blog/archive?page=6

20. https://it.impress.co.jp/articles/-/26156

21. CTO 道井 俊介｜ピクシブ株式会社 - Pixiv, https://www.pixiv.co.jp/member/harukasan/

22. pixiv Bug Bounty Program 2018 - pixiv inside, https://inside.pixiv.blog/kobo/5962

23. https://www.pixiv.co.jp/member/

24. クリエイターの創作活動を技術で支える！ ピクシブCTOが考える, https://gekkan-kosen.com/21046/

25. プログラミング言語Rubyのコアコミッター・中村宇作氏を採用し, https://www.pixiv.co.jp/news/recruit/article/6104/

26. エンジニア 宇佐美 健太｜ピクシブ株式会社 - Pixiv, https://www.pixiv.co.jp/member/tadsan/

27. スラスラ読める PHPふりがなプログラミング - インプレスブックス, https://book.impress.co.jp/books/1119101070

28. PIXIV TECH FES., https://conference.pixiv.co.jp/2020/tech-fes

29. https://www.pixiv.co.jp/member/usa/

30. ピクシブ株式会社 - Ruby Association, https://www.ruby.or.jp/ja/showcase/case87

31. インフラエンジニア 山根 祥之｜ピクシブ株式会社 - Pixiv, https://www.pixiv.co.jp/member/konoiz/

32. パスワード含む最大2252万件 API不正利用される - ITmedia NEWS, https://www.itmedia.co.jp/news/article/2610/16/2000002312/

33. カプコン、1177万件漏えい 不正アクセスで - ITmedia NEWS, https://www.itmedia.co.jp/news/article/2610/22/2000002523/

34. コミックシーモア、最大420万件の情報流出 サービス停止続く, https://www.watch.impress.co.jp/docs/news/2150296.html

35. IBM's Cost of a Data Breach Report 2026: AI Is Now the Attacker and, https://www.varonis.com/blog/ibm-cost-of-a-data-breach-report-2026

36. 27 Seconds: CrowdStrike 2026 Breakout Time and Detection Speed, https://mine2.io/blog/2026-07-03-27-seconds-breakout-time/

37. https://www.itebulletins.com/resources/security/attackers-break-out-in-29-minutes-detection-still-takes-two-weeks

38. CrowdStrike 2026 Global Threat Report | Key Cyber Threat Trends, https://www.crowdstrike.com/en-us/global-threat-report/

39. 2026 GLOBAL THREAT REPORT - DLT Solutions, https://www.dlt.com/sites/default/files/resource-attachments/2026-03/Global-Threat-Report_2026_GD.pdf

40. CrowdStrike 2026 Threat Report: 29-Minute Breakout Wake-Up, https://www.kiteworks.com/cybersecurity-risk-management/crowdstrike-2026-threat-report-breakout/

41. DevOps Career Guide 2026: Roles, Salaries, and How to Get Hired, https://devopstales.com/devops/devops-career-guide-2026/

42. ｢サイバーセキュリティ人材調査｣"数の不足"より深刻な問題が判明, https://toyokeizai.net/articles/-/937883?display=b

43. 2025年、世界のサイバーセキュリティ人材不足は480万人に 報告書, https://spap.jst.go.jp/china/news/250904/topic_3_01.html

44. DevOps Engineer Salary 2026: Pay by Level, Cert, and Location, https://cloudaqube.com/blog/devops-engineer-salary-2026

45. 世界のWebサイトの7割に影響・・・PHPの重大な脆弱性を発見, https://www.i-cept.jp/blog/?p=1504

46. DevOps Jobs in 2026: Roles, Salaries, and How to Actually Get Hired, https://medium.com/@ajbuilds/devops-jobs-in-2026-roles-salaries-and-how-to-actually-get-hired-53517d82378b

47. IBM Cost of a Data Breach 2026: The AI Findings Explained - AccuroAI, https://accuroai.co/blog/ibm-cost-of-a-data-breach-2026-ai-findings

48. Cost of a Data Breach Report 2026 - IBM, https://www.ibm.com/reports/data-breach

49. IBM Cost of a Data Breach Report 2026 - Celerity UK, https://celerity-uk.com/resources/ibm-cost-of-a-data-breach-report-2026

50. Cost of a Data Breach Report 2026をどう捉えるか - IBM Community, https://community.ibm.com/community/user/blogs/junpei-oikawa1/2026/08/07/ibm-cost-of-a-data-breach-report-2026

51. IBM 2026 Breach Report: AI Governance Failures Drive Costs, https://www.kiteworks.com/cybersecurity-risk-management/ibm-2026-breach-report-ai-governance/

52. 情報セキュリティ10大脅威 2026 [組織編] - IPA, https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/presen_2026_soshiki_16_9.pdf

53. https://www.geekly.co.jp/column/cat-position/security_engineer_income/

54. 2026 Site Reliability Engineer Salary in Remote | Built In, https://builtin.com/salaries/us/remote/site-reliability-engineer

55. ピクシブ株式会社／【フルリモート可】iOSアプリエンジニア ... - doda, https://doda.jp/DodaFront/View/JobSearchDetail/j_jid__3015907150/

56. 【中途採用】バックエンドエンジニア（pixivプレミアム／リーダー, https://next.gaishishukatsu.com/job_infos/162770

57. 警察庁、2026年上半期のサイバー脅威情勢を公表 ランサムウェア, https://japansecuritysummit.org/2026/09/14950/

58. KADOKAWA、25年3月期決算は最終利益35%減の73億円 ... - gamebiz, https://gamebiz.jp/news/405346

59. KADOKAWAのランサムウェア被害から学ぶサイバーセキュリティ対策, https://www.pentasecurity.co.jp/pentapro/entry/kadokawa2024

60. 中小企業のIT予算の組み方 ― 経営者が知るべき適正投資額と費目別, https://www.josis365.com/blog/sme-it-budget-guide/

61. https://www.newton-consulting.co.jp/itilnavi/flash/id=9156

62. https://hackenproof.com/blog/cost-of-a-bug-bounty-program

63. https://inside.pixiv.blog/2026/09/02/120000

64. https://inside.pixiv.blog/