PHPの重大欠陥で行政やネットショップが予防停止　AIが見つけた欠陥を直し切る仕組みはあるか【海外の反応・解説】

Table of Contents

今回の記事の重要ポイント（三点）

・10月21日、ウェブの裏側で広く使われるPHPに、外部から乗っ取られるおそれのある欠陥2件の修正版が出て、日本と欧州では行政・保育・ネットショップなどのサービスが予防のため一時停止した。

・欠陥の兆候は2024年に見つかっていたが修正方針が決まらず、2026年にAIを使った調査で攻撃に使えると示されてから、修正と公開の調整が進んだ。

・AIで欠陥を見つける速さが上がる一方、確かめて直すのは少人数の保守チーム、届けて入れ替えるのは各地の事業者と運用者で、見つけた後の工程を誰が支えるかが問われている。

PHPの欠陥に修正版、各地でサービスが予防停止

ウェブサイトやウェブサービスの裏側で動くプログラミング言語PHPの保守チームは10月21日（日本時間21日夜）、重大な欠陥2件を直した新しい版を公開した。

欠陥はCVE-2026-109618とCVE-2026-109619で、深刻度は2件とも共通の評価基準CVSS v4.0で10点満点の9.2。条件がそろえばログインなしで外部からサーバーを乗っ取られるおそれがある。修正版は8.5.12、8.4.27、8.3.36、8.2.35。

同じ21日の未明（日本時間）に事前告知が出たあと、各地でサービスを予防的に止める動きが広がった。ITmediaによると、国内では保育施設向けのコドモン、ネットショップ作成のBASE、金融機関や鉄道会社、ゲームや動画のサービスなどが一時停止した。

コドモンは22日未明に一部機能を除いて再開し、BASEは22日朝に緊急メンテナンスを終えた。

オランダでは行政手続きのログイン基盤DigiDなどが止まり、フランスの内務省は県庁のサイトを一時的に閉じたと、オランダ公共放送NOSが伝えた。

高市早苗首相（@takaichi_sanae）は21日午後9時55分、自身のXで「大至急のお願い」として、公開しているサイトでPHPを使っているかを確かめ、同日午後11時に公開予定の修正パッチを速やかに適用できるよう準備を呼びかけた。

首相は、適用が難しい場合はサイトを一時的に止めることもリスクを減らす策の一つとし、国家サイバー統括室のXアカウントの発信も参考にするよう求めた。

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…
— 高市早苗 (@takaichi_sanae) 2026年10月21日

欠陥は、米OpenAIのAIモデルを使った米セキュリティ企業Califの調査、OpenAI自身、Google傘下のWizの調査でそれぞれ見つかり、修正と公開はPHPの保守チームが担った。

オランダの国家サイバーセキュリティセンターと米サイバーセキュリティ・インフラ安全保障庁は、21日時点で活発な悪用を確認していないとNOSは伝えた。米Cloudflareは攻撃の試みを観測し、防御を追加したと発表した。

Claude Mythosが崩す安全保障の前提　「AI不拡散条約」を選んだAnthropic社の決断

OpenAIとAnthropicのAIが実在企業をハッキング　「暴走」ではなく命令に忠実すぎた事故の全貌【海外の反応・解説】

相次ぐ個人情報流出、何が危険でどう備える？　タイムズカー・焼肉きんぐなどの事例から【海外の反応・解説】

PHPは何に使われ、修正は誰が入れるのか

種類の違うサービスの共通の土台

PHPは、サーバーの上でプログラムを動かすための言語と、その実行の仕組みです。ページを開いたときに会員情報を読み出したり、注文や申し込みを受け付けたりする処理を書くための代表的な言語の一つです。

調査会社W3Techsによると、サーバー側の言語を判別できるサイトのうち69.3％がPHPを使っています。分母は言語を判別できたサイトに限られます。

今回PHPの欠陥を受けて止まったと報じられたサービスは、行政の手続き、保育施設と保護者の連絡、ネットショップ、報道と、用途がばらばらです。共通するのは、利用者の入力をサーバーで受け取り、処理して返す仕組みを持つことです。ブログやサイトの作成に広く使われるWordPressも、PHPの上で動くソフトの一つです。

土台・アプリ・運用する人の三層

ウェブサービスは、三つの層に分けると整理しやすくなります。一番下がPHPそのもので、その上に業務システムやネットショップ、WordPressのようなアプリが載り、全体を実際のサーバーで動かす事業者や組織がいます。

今回の欠陥は一番下の土台にありました。アプリを最新にしても土台は入れ替わらないため、PHP自体を修正版に替える必要があります。

修正版はPHPの保守チームが作り、Linuxの配布元や企業向けの保守サービスがそれぞれの形に整えて配ります。それを受け取って入れ替えるのは、自前でサーバーを持つ組織なら自分たち、レンタルサーバーなら事業者です。同じ欠陥でも、どの層に誰がいるかで直るまでの時間が変わります。

PHP 8.1以前の古い版は、PHPの保守チームによる通常の更新対象から外れています。今回は例外的に、7.4、8.0、8.1の3つの版に限って、最小限の修正を加えたソースコードが公開されました。保守チームは、自分で組み立てて使う人や、企業向けの長期保守サービスを使えない人に向けたものとしています。

エラー時の後始末と、前の処理の残りに欠陥

欠陥は2件あります。1件は、メモリ（作業用の記憶領域）が足りなくなったときの後始末の不備です。もう1件は、前の利用者の処理で使った情報が片付けられないまま残り、次の処理がそれを使ってしまう不備です。

どちらも、片付けの途中で作業が打ち切られ、散らかったままの机を次の人が使うような状態に近いものです。

保守チームは、PHPの動かし方によって危険の度合いが違うとしています。最も危険なのはウェブサーバーのApacheに組み込んで動かす方式で、サイト側のプログラムが動き始める前の段階で影響が出ることが実証されています。条件をそろえる難しさはあるものの、ログインも利用者の操作も要りません。

2024年の兆候から公開まで

PHP Foundationの振り返りによると、2件のうちメモリ不足の後始末にかかわる1件は、ドイツ政府系の基金が資金を出した2024年の外部監査で兆候が見つかっていました。その時点では攻撃に使えるかは分かっていません。

2026年は、OpenAIの支援の枠組みで調査したCalifとOpenAIが8月に同じ根本原因を報告し、Wizも自社の記事で8月24日に報告したとしています。公開直前には誤った深刻度（10.0）付きの番号がネットに出回り、公開日は22日夜から21日夜（日本時間）へ1日早まりました。

海外の反応

米国のIT系ニュース掲示板Hacker Newsでは、PHPの勧告が共有されて600件を超えるコメントが付きました。

どこでPHPが使われているのかという素朴な疑問から、各地の予防停止、修正版を出す時刻をめぐる応酬まで、運用する側の声が続いています。

Security advisory: Critical remote code execution vulnerabilities, update now｜Hacker News

以下はスレッド内のユーザーコメントの抜粋・翻訳です。

素朴な疑問なんだけど、今どきPHPなんて誰が使ってるの？　名もないサイトが山ほどあるだろうから、大ごとなのは分かるけど。

米国で何百万人分の利用者を抱える、かなり大きな業務用の通信サービス（電話やチャットをまとめたクラウドサービス）が、PHP 7.4で動いている。

ユビキティ（米国のネットワーク機器メーカー）のルーターの管理画面はPHPを使っていると思う。

前はね。新しいファームウェアではPHPをやめた。

そうでもないよ。Wikipediaみたいな小さなサイトくらいかな。

あとはウェブの7割。大したことはない。

オランダでは、DigiD（行政サービスのログイン）、RTL（大手放送局）、議会がウェブサイトを止めた。

何がいちばんいいのか分からない。全部止めるか、止めないか……。自分は小さなSaaS（ネット経由で使うソフト）をやっているだけなんだけど。

共有サーバーに置いているサイトを一つ止めようとしたんだけど、そこではPHP自体を無効にできない。

共有サーバーなんでしょ？　だったら止めるのはサーバー会社の仕事じゃないの？

パッチ（修正版）がまだ出ないのはなぜか、と思っている人へ。リリース作業を担当しているのはほんの数人で、その人たちはまだ寝ている。

既知の脆弱性の修正を出し渋るのは実際には悪手だということを、業界がこれで学んでくれるといいんだけど。

大手の組織や共有サーバーの事業者には、パッチを当てて利用者を守る機会があった。

待つと決めたのは、利用者が実際に更新を入れられる時点でパッチを出すためだ。

「LLM（大規模言語モデル）があるとはいえ、もう少し時間があると思っていた……」

これだけ利用者が多いのに、それはひどく甘い。

で、あなたはPHP Foundation（PHPの開発を支える非営利団体）に、24時間対応の費用をいくら払っているの？

ウェブサイト作成ソフトWordPressの利用者が集まる r/Wordpress では、修正版の公開前に、ホスティング事業者が対応してくれるのかという質問が出ていました。

PSA: Upcoming Critical PHP Security Release
byu/dcyCipher inWordPress

以下はスレッド内のユーザーコメントの抜粋・翻訳です。

大手のホスティング事業者がサーバー側でパッチを当ててくれるの？　それとも自分で手動で更新しなきゃいけない？

ホスティング次第。管理付きのホスティングなら、たいてい当ててくれる（当てるべきだ）。

Hacker Newsでは、Wizの調査記事にも別のスレッドが立ち、AIの成果をどう受け止めるかで意見が分かれました。

PHP2Shell: AI uncovers critical RCE in PHP｜Hacker News

以下はスレッド内のユーザーコメントの抜粋・翻訳です。

欠陥は少なくとも20年前のコードにあった。AIの発見ではよくあるパターンだ。

何千人もが読んでレビューしてきた20年前のコードにあって、誰も気づかなかったのなら、なおさら注目に値するんじゃないか？

ああ、人間抜きで「AI」がやったってことね。

両方の欠陥はAI以前にも報告されていたらしい。そうなら、重要な問いが投げかけられるべきだ。

（PHP Foundationの説明では、2024年に兆候が見つかっていたのは2件のうち1件）

見つける速さと、直して届ける工程

兆候があっても直せなかった

2024年の兆候は、攻撃に使えるか分からないまま残りました。Foundationは、修正案はあったものの、古いプログラムとの互換性などそれぞれに代償があったと振り返っています。

保守チームは全員の合意で決める運営で、中核部分に詳しい開発者も多くありません。Foundationはこの遅れを「構造的な失敗」と呼んでいます。

攻撃に使えるか分からない欠陥は、使えると分かっている欠陥より後回しになりやすくなります。限られた人数で、互換性と安全を天秤にかける場面ではなおさらです。

AIが縮めたのは「使える」と示すまでの時間

2026年の調査では、研究者がAIを使い、同じ根本原因から実際に攻撃が成り立つことを示しました。報告から修正版の公開までは2か月余りです。NOSが伝えたWizの説明では、AIを使った研究者一人が1週間で、以前なら熟練チームで数か月かかる作業を進めています。

2024年に止まっていた作業に、2026年は攻撃が成り立つという実証が届き、そのあとに保守チームの主導で修正と公開の調整が進んでいます。実証は、何を先に直すかを判断する材料を変えた出来事の一つです。発見から修正までには、AIを使う研究者、修正を書く保守チーム、調整を担った企業という三つの役割が並んでいます。

報告が増えるほど仕分けが重くなる

PHPの保守チームは7月以降、15件の脆弱性を公表する一方で、無効・重複・再現できない報告を100件以上処理しました。由来を問わない報告全体の数です。

Foundationはこれとは別に、AIを使った調査が広がって届く報告が増えたと書いています。保守チームは仕分けにもAIを使っていますが、何を直すかの判断と修正は人が担っています。

見つける側がAIで速くなるほど、届いた報告が本物か、どれほど危ないかを確かめる側の仕事は増えます。OpenAIは、同様の発見がこの先数か月で急増すると見ています。

修正版を出す時刻の綱引き

修正版を出す日時は、時間をかけたい事情と急ぎたい事情の綱引きになります。配布元や大手の事業者に準備の時間を渡せば、修正版が出た時点で多くの利用者を守れます。情報が漏れれば、待つほど攻撃する側に時間を与えます。

今回は番号の流出で公開が1日早まり、その直後には調査会社が実証動画を誤って公開しています。21日にはSNSで欠陥の解析とされる情報が広がる一方、配布元は修正版のパッケージを準備している途中でした。情報が先に広まり、入れ替える手段がまだそろわない時間が生まれています。

PHP Foundationは、公開時点までに確かめた実証コードに、実際に機能する攻撃は見当たらなかったとしています。それでも各サイトの運営者は、真偽の分からない情報が広がる中で判断を迫られました。反応欄の「数人がまだ寝ている」「24時間対応の費用を誰が払うのか」という応酬は、この時間差の中から出ています。

OpenAIは今回の経験をもとに、修正を届ける手順を5段階の案として示し、誰に事前に知らせるかを保守チームが決める形を提案しています。事前に知らされた組織は準備を進められ、知らされない組織は公開と同時に動くことになります。CloudflareのWAF（不正な通信を遮る仕組み）は公開前から防御を入れましたが、PHPの更新が必要だとしています。

入れ替える側には止める判断が残る

修正版が出ても、各サーバーで入れ替わるまでには段差があります。自前でサーバーを運用する組織は自分で入れ替え、レンタルサーバーの利用者は事業者の対応を待ちます。製品の中にPHPが組み込まれていて、利用者からは見えないものもあり、IPAは自社の製品に組み込まれたPHPまで棚卸しするよう求めていました。

修正版が届くまでの間、運営する側は、サービスを止めて利用者の手続きを止める損失と、動かし続けて攻撃を受ける危険を比べることになりました。多くが選んだのは予防のための停止で、止めれば攻撃は受けにくくなる一方、行政の手続きや保育施設の連絡ができなくなります。オランダの司法相は、多くのサイトが予防のために止まったことが「デジタル社会に影響を与えている」と述べています。

首相の投稿も、修正の適用が難しい場合の一時停止を、リスクを減らす策の一つに挙げていました。首相がXで直接呼びかけたことについては、ITmediaが技術者から「経営層に伝わる」と評価する声が出ていると伝えています。サービスを止めるかどうかは技術の判断であると同時に、事業を止める経営の判断でもあります。

見つけた後の費用は誰が持つのか

見つけた後の工程を支えるお金の出どころは、今回も複数にまたがっています。2024年の外部監査はドイツ政府系の基金が資金を出し、2026年のCalifの監査はOpenAIの支援の枠組みの中で行われています。OpenAIは、オープンソースの保守者へのAIの利用枠の提供や、重要なサービスを守る組織向けに10億ドル分のAI利用を補助する計画を打ち出しています。

PHP Foundationは、PHPの上で事業をする企業、ホスティング事業者、クラウド、配布元、政府に継続的な支援を求めています。世界の多くのサービスが無料で使う土台を、少人数の保守チームと、その時々の資金が支えている形です。

AI企業の支援には、防御側に準備の時間を作ったという評価があり、反応欄のように成果の宣伝ではないかという見方もあります。どちらの見方を取るにしても、支援がその時々の企業の判断で決まる形のままでは、次の発見のときに同じ体制がそろうかは分かりません。長い目で見た対策として、メモリの扱いで間違いが起きにくい言語へ中核部分を移す案も、OpenAIが挙げています。

AIが見つけた欠陥を、最後まで直すのは誰か

見つける速さに、後ろの工程が追いつくか

今回の欠陥では、見つける工程がAIによって速くなりました。2024年に兆候が見つかりながら止まっていた修正は、攻撃に使えると示されてから2か月余りで修正版の公開に至っています。

見つけた後の工程は、それぞれ別の担い手が支えていました。確かめて直すのは少人数の保守チーム、届けるのは配布元と事業者、入れ替えるのは各地の組織です。今回はその負担が、保守チームの停滞、公開日の前倒し、各地の予防停止という形で表に出ました。

OpenAIは同様の発見が急増すると見ています。AIで欠陥が見つかる時代に、直し切る仕組みが整うかどうかは、発見の速さよりも、後ろの工程を誰が人と費用で支えるかにかかっています。行政も企業も同じ土台の上でサービスを動かしている以上、その分担は使っている側すべてに関わる問いです。

それではまた、次回の記事でお会いしましょう。

YouTubeでも配信中

せかはんでは、記事の内容をまとめた解説動画とショート動画を配信しています。動画で振り返りたい方はこちらからどうぞ。

チャンネル登録はこちら

▼記事が面白かったら応援クリックお願いします！▼

▲更新の励みになります！▲

Xでフォローする

参考リンク

アイキャッチ画像：PHPロゴ（Colin Viebrock、CC BY-SA 4.0）、PHP公式サイトのSVGをPNGに変換

PHPの重大欠陥で行政やネットショップが予防停止　AIが見つけた欠陥を直し切る仕組みはあるか【海外の反応・解説】

今回の記事の重要ポイント（三点）

PHPの欠陥に修正版、各地でサービスが予防停止

関連記事