AWS CloudFrontが2026年7月に部分障害—原因は「VPC Origins」の内部制約、はてなブログ・PayPay・ニコニコなど国内サービスも影響

AWSは根本原因を「VPC Origin接続を管理するフリートに対する内部制約」と説明しており、CloudFrontのエッジロケーションから顧客VPC内のリソースにリクエストをルーティングするパケット処理サブシステムに関連しています。この障害はCloudFront全体の機能停止ではありません。S3オリジンやパブリックインターネット経由のALBオリジンなど、他のオリジンタイプを利用している顧客には影響はありませんでした。AWSのエンジニアは、内部容量上限に達すると、ネットワークプロセッサにルーティング構成を配信するシステムが「更新された構成データを正しくロードできなかった」ことを確認しています。

影響範囲と継続時間

• 発生日時：2026年7月16日 12:45 AM PDT（日本時間 4:45 PM / UTC 7:45 AM）
• 復旧日時：4:18 AM PDT（日本時間 8:18 PM / UTC 11:18 AM）—— 総継続時間は約3時間33分
• AWSが問題を認識：1:44 AM PDT、根本原因を特定：2:57 AM PDT、完全復旧を報告：4:18 AM PDT

影響を受けた主なサイト：

• Hugging Face — Hubおよびデータセットのダウンロードが利用不能に。Hugging Faceのステータスページは「グローバルなAmazon Web Servicesの障害」が原因と確認。Hugging FaceはUTC 8:30 AM頃から10:07 AM頃までダウン。
• 英国ナショナルロッタリー — オフラインに。
• 日本国内のサービス — はてなブログ、ニコニコ（ニコニコ生放送など）、PayPay、note.com、マイナポータル（政府のデジタルIDシステム）が軒並み障害の影響を受けた。
• Morpho（DeFiプロトコル） — WebアプリとAPIが約3時間オフラインに。
• WIPO eHague — 国際知的財産システムが混乱。WIPOは障害を理由に出願期限を延長するガイダンスを発行。

この障害は主にCloudFront VPC Origin構成に限定されていましたが、多くの主要サイトで「セキュリティ強化のデフォルト構成」としてCloudFrontを内部ALBとVPC Originsで接続するアーキテクチャが採用されているため、被害範囲は非常に大きくなりました。一部のシステムでは、静的アセット（S3から配信）はアクセス可能なまま、動的APIコール（VPC Origins経由）だけが504エラーを返す「部分障害」のパターンが観測されました。

広がるパターン：AWS障害とクラウド集中リスク

今回のインシデントは、少数のハイパースケールクラウドプロバイダーへのインターネットインフラの過度な集中に対する懸念をさらに強める、一連の有名なAWS障害の最新事例です。

• 2025年10月20日：AWS US-EAST-1リージョンで大規模障害が発生。推定70,000以上の組織に影響。Perplexity、Snapchat、Fortnite、Canva、Slack、Signal、PlayStation、Ringカメラなどが数時間にわたりダウン。推定損失は1時間あたり7,500万ドル超。原因はDNS問題がDynamoDBやその他コアAWSサービスに波及したこと。
• 2025年12月24日：ホリデーシーズン中に再びAWSが大規模ダウン。
• 継続的な頻度：2025年から2026年にかけて、CloudFrontのDNS解決失敗やRoute 53の遅延など、複数のCDN/DNS関連インシデントが発生。あるクラウドサービス監視団体は、2025年をクラウド障害の記録的な年と表現しています。

なぜこれが繰り返し発生するのか：インターネットは、コンピューティング、ストレージ、ネットワーキング、DNS、認証、CDN、セキュリティをAWS、Azure、Google Cloudに集中させています。AWSだけで世界のクラウドサービス市場の約30%を占め、Azureが20%、Googleが13%を占めています。アイオワ州立大学の研究者は、DNS、認証、電子メール、セキュリティインフラという4つの中核的インターネットサービスが少数のグローバルプラットフォームに集中しており、単一プロバイダーの障害が瞬時に業界全体に波及することを指摘しています。2026年7月のクラウド集中リスク分析では、「サービスが3つのアベイラビリティーゾーンで稼働していても、1つのリージョナルコントロールプレーンや1つのネットワーク仲介事業者に依存しているために障害が発生する可能性がある」と指摘されています。

2026年7月のCloudFront障害はこの現象の典型例です。広範なインフラの崩壊ではなく、単一機能のコントロールプレーン容量上限が、金融、AI、ゲーム、政府といった無関係な数十のサービスをダウンさせました——まさにそれらすべてが同じAWS上のプライベートオリジン配信経路を共有していたからです。ある分析者が述べたように、「3ヶ月の間に2度のAWS障害は、ほとんどのCTOが認めるのを恐れていたことを検証した——単一クラウド依存は存在リスクである」。