決済端末のセキュリティは大丈夫？PHPの脆弱性による影響と店舗の対策を解説

店舗オーナー向け・決済のセキュリティ

「PHPに重大な脆弱性があると聞いたけれど、お店の決済端末は大丈夫？」
「お客様のカード情報が漏れることはない？」

セキュリティのニュースを見て、店舗で使っているキャッシュレス決済端末にも不安を感じた方はいるのではないでしょうか。

結論からいうと、 PHPの脆弱性が見つかったことだけで、すべての決済端末が危険になったとは判断できません。 一方で、端末とつながる決済サーバーや管理画面を含め、影響の有無を確認することが大切です。

この記事のポイント

本記事では、最近公表されたPHPの脆弱性を踏まえ、決済端末の安全対策と、店舗が確認しておきたい項目を解説します。

PHPの脆弱性とは？最近の問題を分かりやすく解説

PHPは、WebサイトやWebシステムの処理に使われるプログラミング言語です。店舗のホームページやネットショップ、各種管理システムで使われている場合があります。

2026年10月21日、PHPの開発元は、外部から不正なプログラムを実行される可能性がある重大な脆弱性への対応を公表しました。 JPCERT/CCも10月22日に注意喚起を行っています。

対象は、CVE-2026-109618とCVE-2026-109619です。影響を受けるPHPを使っている場合は、修正版の適用や侵害の有無の調査が必要とされています。

決済端末の比較候補

セキュリティ対応やサポートを重視するなら、
stera packも確認してみましょう

決済端末を選ぶときは、導入費用や手数料に加えて、 更新の仕組み・トラブル時の窓口・脆弱性への対応方針も確認しておきたいポイントです。

「PHPの問題＝全決済端末の問題」ではありません

影響の有無は、 対象のPHPをどこで使っているか、対策が済んでいるか によって異なります。インターネットにつながる機器という理由だけで、すべての端末が同じ脆弱性の影響を受けるわけではありません。

個別の端末やサービスへの影響は、提供会社の調査・公表内容を確認する必要があります。端末の外見やメーカー名だけでは判断できません。

決済サービスは、手元の端末だけで動いているわけではありません。決済処理を行うサーバー、加盟店向け管理画面、 POSレジや予約システムなどが関係する場合があります。

確認する場所	考え方	主な確認先
決済端末本体	対象のソフトウェアを搭載しているか、更新が必要かを確認する。	端末の提供会社
決済サーバー・管理画面	対象のPHPを使っている場合は、端末本体とは別に対応が必要になる可能性がある。	決済サービスの提供会社
POSレジ・連携システム	連携先の影響や、決済機能への波及を確認する。	POS・システムの提供会社
自店のWebサイト・ECサイト	決済端末への影響とは別に、サーバー側のPHPの対策状況を確認する。	制作会社・保守会社・サーバー会社

この表は、確認する場所を整理したものです。特定の決済サービスで今回の脆弱性が確認されたことを示すものではありません。

「今日も決済できたから大丈夫」とは限りません。脆弱性があっても、通常の決済処理が動くことはあります。反対に、通信エラーが出たことだけで、不正アクセスがあったと判断することもできません。

動作の見た目ではなく、提供会社の公式案内で確認することが基本です。

決済端末の安全性は、ひとつの機能だけで決まるものではありません。カードの認証、データの保護、機器への不正操作対策、ソフトウェアの更新などを組み合わせて守ります。

EMV方式のICカード決済では、取引ごとに一度限りの暗号学的な認証コードを生成し、カードや取引の正当性を確認します。偽造カードなどによる不正を減らすための仕組みです。

ただし、これはPHPの脆弱性を修正する機能ではありません。カード認証の仕組みと、サーバーやソフトウェアの対策は、それぞれ必要です。

暗号化は、第三者が情報を入手しても内容を読み取りにくくするための技術です。 PCI P2PEは、端末で読み取った決済データを、所定の復号環境まで保護する仕組みを評価する基準です。

ただし、 すべての端末・サービスがPCI P2PEの認定を受けているわけではありません。 利用中のサービスが、どの範囲でデータを暗号化しているかを確認しましょう。

名称	主な対象
PCI DSS	カード会員データを保存・処理・伝送する環境の保護。
PCI PTS POI	暗証番号入力などに使う決済機器の、物理面・論理面のセキュリティ。
PCI P2PE	決済データの読み取りから所定の復号環境までを保護する、暗号化ソリューション。