494.PHP脆弱性騒動
初回：2026/10/28
PHPの脆弱性が、大きな話題になっています。
P子「やはり、高市総理の公式サイト遮断発言の影響力が大きかったのかもね」※1
まあ、サーバーサイド言語では77.5％のシェアがあり、WordPress自身も全世界のWebサイトの40％以上で使用されてるそうで、影響力が桁違いなんでしょう。特に、私も含めた素人にとってもよく判らないままWordPressを使ったりすることがありますから、そのあたりもほったらかしにされているケースも多々あるかもしれませんが、これだけの話題になれば、それなりに多くの人が知ることになるでしょう。
1.PHPの脆弱性
まずは、情報筋から。
≪参考資料1≫
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)
公開日：2026年10月22日
IPA 独立行政法人 情報処理推進機構
≪参考資料2≫
https://blog.flatt.tech/entry/php2shell
PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針
2026-10-21
GMO Flatt Security株式会社の公式ブログ
この中で特に問題視されているのが、IDやパスワードなどの認証なしに、サーバー上で勝手にプログラムを実行できることと、攻撃の再現に必要な機能には、デフォルトオンのものが含まれていることのようです。
業務システムならIDやパスワードの認証が大抵必須なので、過去の流出データや偽ページへの誘導で入力させるなどの段階を経て攻撃をかけることになり、その場合でも、ある特殊機能を使用したときだけ攻撃を受けるとか、特定の条件で発生させることができるなど、より条件が厳しいケースがあります。
しかし、PHP単体やWordPressなどのシェアと使われ方を考えると、非常に広範な影響がありうると思われます。
P子「これほど大きな影響があるのに、対応が後手後手の気がするわね」
2.脆弱性の発見と公表のタイミング
今回の脆弱性も、10年以上前から存在していた欠陥を、AIによるの発見だったそうです。そのうえで、PHP財団は十分な検証とパッチ用意したうえで公表するつもりでしたが、SNS上でフライングでリーク（漏洩）したため、予定を前倒して修正版と注意喚起を急遽同時に行う事態となったそうです。
その結果、サーバー管理者などは対応が間に合わず一時的にシステムを停止しざるを得ない状況になってしまったという事です。
P子「システムの一時停止だけじゃなくって、廃止や閉鎖も結構の数が上がってるわね」
手間暇かけてバージョンアップして検証したりしても利益が見込めないシステムや、すでにサポート切れのシステムを改修してまで継続するのが困難な場合は、廃止や閉鎖も視野に入れざるを得ないでしょう。
P子「サポート切れのシステムを使い続けていたってのも、問題かもね」
需要が少なくて改修費用が捻出できないけど、やめられないシステムって結構あると思います。今回の騒動に便乗して閉鎖っていうのはあるかもしれません。
また、今回のPHP騒動の前から、AIによる脆弱性の発見スピードに対して、対応スピードが追い付いていないという指摘はありました。そこに第三者による発見時に、発見者が通報する場合、公表していないため、あちこちから同様の通報があることもあるでしょうし、間違ってパッチや対策前に公表されてしまうリスクもあります。
また、素人による脆弱性発見報告は、再現性の手順や環境要因が不明確・不足しているケースも多いため、再現させるだけでも時間がかかるそうです。そういうあいまいな発見報告でも無視するわけにはいかないため、対策チームは大変だそうです。
あと、このコラムを書いている最中に見つけた記事もアップしておきます。
≪参考資料3≫
https://www.afpbb.com/articles/-/3659372
PHPに新たな脆弱性、既存の更新では解消せず...韓国当局が暫定対策を勧告
2026年10月26日 14:00 発信地：韓国 [ 韓国・北朝鮮 ]
(c)news1/KOREA WAVE/AFPBB News
3.まとめ
今回のPHP脆弱性騒動は、色々と大きな話題になったおかげで、あちこちでシステムの脆弱性について認識を持ってもらえたようです。今まではシステム部門とか特定の部署や担当者だけの個人の問題に様な感じでしたが、組織として取り組むべき課題であるという認識を持ってもらえたようです。
P子「本当かしら？」
まあ、喉元過ぎれば何とやら ... なので、一過性のものかもしれませんが、そういう事件があったという記憶が残れば、もう少し体制を整えられると期待しています。
ほな、さいなら
======= <<注釈>>=======
※1 P子「やはり、高市総理の公式サイト遮断発言の影響力が大きかったのかもね」
P子とは、私があこがれているツンデレPythonの仮想女性の心の声です。