首相が「大至急」と呼びかけた夜。
10月21日の夜、国内のたくさんの会社やお店が、自社のサービスやサイトを急に止めました。セキュリティ情報をまとめているブログ「piyolog」の集計では、その日の22時台までに54の組織が、停止や緊急メンテナンスを告知しました。
同じ夜の21時55分、高市早苗首相がXに「今夜に対応して頂きたい大至急のお願い」と投稿しました。原因は、PHPという仕組みに見つかった、重大な欠陥です。
https://x.com/takaichi_sanae/status/2112890642590564386
「PHPって何？」「うちのホームページは関係あるの？」「誰に何を頼めばいいの？」
ニュースを開いても、出てくるのはパッチ、リモートコード実行、CVSSといった言葉ばかり。結局、自分の会社が何をすればいいのか分からないまま、という人は多いはずです。
この記事では、専門用語をできるだけ使わず、中学生でも分かるように、飲食店のたとえで一から説明します。
紹介するのは、次の3つです。
- 10月21日に何が起きたのか、なぜ首相まで呼びかけるほどの話なのか
- 自社のサイトが関係あるかを、管理画面で5分で確かめる方法
- 今日やること、やってはいけないこと、そのまま送れる問い合わせ文
では、始めます。
第1章：10月21日、PHPの重大な欠陥が公表されました
PHPは、世界中のウェブサイトを動かしている、プログラムを書くための言葉です。このPHPそのものに、深刻な欠陥が2つ見つかりました。欠陥とは、悪い人に入り込まれるすき間のことです。ニュースでは「脆弱性」と呼ばれています。
8月：セキュリティ会社が欠陥を見つける
見つけたのは、海外のセキュリティ会社の研究者たちです。そのうちの1社、Wizは自社ブログで、最初の欠陥はAIを使って見つけたと説明しています。報告を受けたPHPの開発チームは、修正の準備を始めました。
10月20日：情報が外に漏れる
本来は、修正版ができあがってから欠陥を公表する予定でした。ところが20日、海外の掲示板に「PHPに深刻な欠陥が2つある」という投稿が出て、話が広まりました。
PHPの公式サイトはこの日、「日本時間21日の23時に緊急の修正版を出す」と予告しました。あわせて、詳しい中身が外に出たり、悪用が見つかったりしたら前倒しもあり得る、と書いています。
10月21日の昼〜夜：各社が身構える
セキュリティの注意喚起を出している情報処理推進機構、略してIPAは、「事前に準備を」と呼びかける注意を出しました。その時点では「悪用した攻撃を確認しているわけではありません」と明記しています。
レンタルサーバーの会社も動きました。エックスサーバーは16時から、管理画面などを「予防的な安全対策」として止めました。利用者のサーバーは動いたままで、不正アクセスが起きたわけではない、と告知しています。ロリポップ！も、23時の修正版の公開に備えて、予防のための緊急メンテナンスに入りました。
政府の国家サイバー統括室は、Xで3回呼びかけています。1回目は「PHPを使っているか確認して、準備を」。2回目は「すぐ直せない場合は、サイトを一時的に止めるのも有効な方法の一つ」。そして首相の投稿が続きました。
10月21日の23時ごろ：修正版が出る
PHPの開発チームは、修正版を公開しました。番号は次の4つです。
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
公開の直後、国家サイバー統括室は3回目の投稿で、修正版への更新を「可及的速やかに」と求めました。
この4つの番号は、第4章で自社の番号と見比べるときに使います。
次は、そもそもPHPとは何かを、飲食店のたとえで説明します。
第2章：PHPは、ウェブサイトという店の「厨房係」です
ウェブサイトを、1軒の飲食店だと考えてみてください。
お客さんがサイトを開くことは、店に入って注文することです。注文を受けて、その場で料理を作って出すのが厨房係で、この厨房係にあたるのがPHPです。
たとえば、予約ページで日付を選ぶと空き状況が出ます。問い合わせフォームに書いて送ると「受け付けました」と表示されます。こうした「お客さんごとに違う画面を、その場で作る仕事」を、多くのサイトでPHPが担当しています。
店の建物と厨房の設備にあたるのが、サーバーです。サーバーは、サイトのデータを置いて動かしているコンピューターのことです。
WordPressは「レシピと店の内装」
ここで、多くの人がつまずく所があります。
会社のホームページによく使われるWordPressは、店でいえばレシピと内装です。そのレシピは、PHPという厨房係が読んで料理することを前提に書かれています。つまり、WordPressで作ったサイトは、PHPがいなければ動きません。
レンタルサーバー会社は「厨房つきの貸し店舗の大家さん」
中小企業のサイトの多くは、レンタルサーバーで動いています。レンタルサーバーは、厨房の設備も厨房係もセットで貸してくれる貸し店舗のようなものです。
この形だと、厨房係を最新の状態にするのは、たいてい大家さんの仕事です。一方で、自社でサーバーを借りて自分たちで管理している場合や、制作会社に丸ごと任せている場合は、直すのは自社か制作会社になります。
ここが、この記事で一番伝えたい部分です。今回の欠陥は、レシピでも内装でもなく、厨房係そのものにあります。
だから、WordPressを最新にしても直りません。WordPressの公式サイトも、今回の件について「WordPressの更新は不要で、予定もない」とはっきり書いています。直すべきは、PHPのほうです。
第3章：欠陥の正体は、厨房の「後片付け」のミスです
見つかった欠陥は2つです。どちらも、PHPの公式サイトの説明を、厨房のたとえに置き換えます。
欠陥1：作りかけの料理を、完成品だと思って片付ける
厨房係は、注文が来るたびに作業台の上で料理の準備をします。ところが作業台の場所が足りなくなると、準備の途中で手を止めることがあります。
問題はそのあとです。片付けの係が、作りかけのお皿を「ちゃんとできあがったお皿」だと思い込んで扱ってしまう。メモリは、厨房でいえば作業台の広さです。公式の説明も、メモリが足りなくなって処理が途中で止まり、作りかけのデータを後片付けの処理が正しいものとして扱ってしまう、という内容です。
欠陥2：前のお客さんの注文メモを、次のお客さんに使う
厨房係は、1人で次々とお客さんの注文をこなします。本来、前のお客さんの注文メモは、次の注文の前に捨てられます。
ところが、メモ用紙はもう捨てたのに、「ここにメモがある」という記録だけが残ることがあります。次のお客さんの料理を作るとき、厨房係がその古い記録を信じて動いてしまう。公式の説明も、前の処理の情報が、メモリを手放したあとも残り、同じ係が次に受けた処理でその情報を使ってしまう、という内容です。
混乱を突かれると、厨房を乗っ取られる
どちらも、使ってはいけないものを、使えると思い込むミスです。この思い込みをうまく突くと、外から来た人が厨房係を思いどおりに動かせてしまいます。
PHPの公式サイトの言い方は、こうです。
PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution.
「修正版は、ログインしていない人が外からプログラムを動かせてしまう、2つの重大な欠陥を直したもの」という意味です。
なぜ、ここまで大ごとになったのか
理由は3つあります。
理由1：誰でも入れる
パスワードもログインも要りません。インターネットからサイトを開ける人なら、誰でも試せてしまう種類の欠陥です。
理由2：深刻さは10点満点で9.2点
欠陥の深刻さには世界共通のものさしがあり、2つとも9.2点の「緊急」でした。しかもPHPの公式は、PHPの動かし方によっては、サイトのプログラムが動き出す前に攻撃が通る実例がある、とまで書いています。サイトの作りがどれだけ丁寧でも、その手前で入られるおそれがあるということです。
理由3：直し方が公開された瞬間から、狙われやすくなる
修正版を見れば、どこに欠陥があったかが分かります。泥棒にとっては、「この型の鍵は開けられる」と書かれた紙を渡されたのと同じです。セキュリティ会社のSansecは、修正版の公開から15分以内に大規模な攻撃が始まると予測していました。あくまで予測ですが、公開されたその夜のうちに直すよう求められたのは、この危うさがあるからです。
実際に攻撃は起きているのか
- インターネットの通信を中継するCloudflareは自社ブログで、顧客を狙う攻撃の通信を観測したと書いています。攻撃者は防御をすり抜けようと、攻撃の中身を変えてきているそうです
- 別のセキュリティ会社のwatchTowrも、2つの欠陥とも悪用の試みを見ていると発表しました
- 一方でHuntressは、21日23時の時点で、自社の顧客では実際の悪用は見ていないと書いています
公的機関の発表は、10月22日の未明の時点で、IPAの事前準備のお願いが最新です。国内の注意喚起を出しているJPCERTコーディネーションセンターの一覧にも、まだPHPの項目はありません。アメリカの政府機関CISAがまとめている「実際に悪用された欠陥の一覧」にも、2つとも載っていません。
「攻撃の通信は出始めている。でも、国内で乗っ取られたサイトが公に確認されたわけではない」。いまは、この段階です。
怖がりすぎる必要はありません。でも、様子見でいい話でもありません。次の章で、自社が関係あるかを確かめます。
第4章：自社が関係あるかは、管理画面で5分あれば分かります
確かめることは、たった2つです。PHPを使っているか。使っているなら、その版の番号、つまりバージョンはいくつか。パソコンに詳しくなくても大丈夫です。画面を順番に押すだけで終わります。
方法1：WordPressなら、管理画面の「サイトヘルス」で見る
WordPressで作ったサイトなら、PHPを使っています。版の番号は管理画面で見られます。道順は、WordPressの公式サイトの案内どおりです。
- WordPressの管理画面にログインする
- 左のメニューの「ツール」を押す
- 「サイトヘルス」を押す
- 上に並ぶタブから「情報」を押し、一覧の中の「サーバー」を開く
- 「PHPのバージョン」の行に書かれた番号を見る
ここに「8.3.30」のような番号が出ます。WordPressの管理画面にはふだん入らない、という社長も多いはずです。担当者か制作会社に、この画面の番号を聞くだけでも十分です。
方法2：レンタルサーバーの管理画面で見る
WordPress以外のサイトや、予約システムが別に動いている場合は、レンタルサーバーの管理画面で確かめます。主な会社の公式マニュアルに書かれた場所は、次のとおりです。
さくらのレンタルサーバ
サーバーコントロールパネルの「スクリプト設定」から「言語バージョン設定」を開き、「PHPのバージョン」を見ます。
ConoHa WING
コントロールパネルの「WING」から「サイト管理」「サイト設定」「応用設定」と進み、「PHP設定」の「PHPバージョン」を見ます。
エックスサーバー
サーバーパネルの「PHP Ver.切替」で確かめられます。ただし、管理画面は21日の16時から予防的に止められていて、再開は22日の未明の見込みとされています。再開のお知らせを見てから開いてください。
ロリポップ！
ユーザー専用ページの「サーバーの管理・設定」から「PHP設定」を開きます。こちらも、22日の未明の時点では緊急メンテナンスでユーザー専用ページが止まっています。再開を待ってからになります。
方法3：番号を、修正版の4つと見比べる
番号が分かったら、第1章の4つと見比べます。読み方にはコツがあります。
前の2つの数字が「系列」、最後の数字が「何回目の手直しか」です。「8.4.27」なら、8.4系列の27回目の手直しという意味です。
- 自社が「8.4.26」なら、8.4系列の修正版は「8.4.27」なので、まだ直っていません
- 自社が「8.3.36」なら、8.3系列の修正版そのものなので、今回の欠陥は直っています
- 自社が「8.1」「7.4」のように、8.2より前の系列なら、要注意です。PHPの開発チームからは、もう修正版が出ません
最後の点は、第6章でもう一度ふれます。
ただし、番号だけで決めつけないでください。PHPの公式によると、サーバーの基本ソフトを配る会社やサポート業者の中には、古い系列にも修正を入れて配っている所があります。番号が古くても、サーバー会社のお知らせに「対応済み」とあれば、そちらを信じてください。
見落としやすい「PHPが隠れている場所」
「うちはホームページを何年も更新していないから関係ない」と思うかもしれません。逆です。何年も触っていないサイトほど、古いPHPのまま残っていることがあります。
PHPが動いている可能性があるのは、会社のホームページだけではありません。
- 予約フォーム、問い合わせフォーム
- ネットショップ、会員ページ
- 社内の勤怠管理や受発注のシステム
- 昔のキャンペーンのために作って、そのままになっているサイト
- 制作会社に任せきりで、中身を誰も把握していないサイト
IPAも、自社が使っているプログラムのうちPHPを使っているものを、できる範囲で洗い出すよう呼びかけています。製品や機械の中でPHPが使われている場合もある、とも書いています。ただし、使っている製品を1つずつ全部調べる必要まではない、としています。まずは外に公開しているサイトから確かめてください。
第5章：今日やることは、「誰が直すか」をはっきりさせることです
PHPを直す作業そのものは、社長がやる仕事ではありません。社長がやるのは、「誰が、いつまでに直すのか」を決めることです。
パターン1：レンタルサーバーなら、大家さんのお知らせを読む
レンタルサーバーで動いているなら、多くの場合、PHPを新しくするのは運営会社です。WordPressの公式サイトも、サーバー会社のお知らせを確かめるよう案内しています。
たとえばカゴヤ・ジャパンは、21日18時20分のお知らせで、PHP8.2〜8.5系のレンタルサーバーは運営側で修正版に更新する予定だと書いています。ほかのプランや版は、対応を調整中としていました。
エックスサーバーも、修正版の公開後は、提供している各PHPの版に公式の修正版や独自の修正を順次当てる予定だとしています。使い方によっては、管理画面の再開後に利用者にも追加の対策をお願いする場合がある、とも書いています。
このように、会社やプランによって「運営がやること」と「利用者がやること」は違います。自社が契約している会社のお知らせを、必ず開いて読んでください。
パターン2：制作会社に任せているなら、今日中に問い合わせる
サーバーの管理まで制作会社に任せている場合は、今日中に確認の連絡を入れます。何を聞けばいいか分からない所なので、制作会社や管理会社にそのまま送れる文面を用意しました。
件名：PHPの重大な脆弱性（php2shell）への対応状況のご確認
〇〇様
いつもお世話になっております。〇〇株式会社の〇〇です。 10月21日に公開されたPHPのセキュリティ修正（8.5.12／8.4.27／8.3.36／8.2.35）について、弊社が管理をお願いしているサイトとシステムの対応状況を教えてください。
1. 対象：会社のホームページ、問い合わせフォーム、予約ページなど、PHPで動いているものすべて 2. 現在のPHPのバージョン 3. 修正版への更新が済んでいるか。済んでいなければ、更新の予定日 4. PHP8.1以前のものがあれば、その扱い 5. サーバーの管理は貴社と弊社のどちらが行っているか
更新が終わりましたら、その旨をご連絡ください。 急ぎのお願いで恐縮ですが、よろしくお願いいたします。
〇〇の所を書きかえるだけで送れます。5番目の質問は、意外と大事です。「サーバーは御社で見ていると思っていた」という行き違いを、ここでつぶせます。
パターン3：サーバー会社のお知らせを、AIに読みくだいてもらう
サーバー会社のお知らせは、どうしても専門用語が多くなります。そこで、お知らせの文をそのままChatGPTやClaudeに貼り、自社がやることだけを取り出してもらいます。頼み方は、次のとおりです。
これから、うちの会社が契約しているレンタルサーバー会社のお知らせを貼ります。PHPの脆弱性（php2shell）について書かれたものです。 専門用語を使わず、中学生にも分かる言葉で、次の3つを答えてください。 1. 運営会社がやってくれること 2. うちの会社がやらないといけないこと（無ければ「無し」） 3. いつまでに、何を確かめればよいか お知らせに書かれていないことは推測せず、「書かれていない」と答えてください。
--- （ここにお知らせの文を貼る）
最後の「書かれていないことは推測しない」の一文が肝です。これが無いと、AIは書かれていない手順まで、それらしく足してくることがあります。
1つだけ、大事な約束があります。AIの答えは、必ずお知らせの原文で確かめてください。
今回の件はここ数日の出来事なので、AIがまだ知らないこともあります。AIは読むのを手伝う係です。原文を見て判断するのは社長です。
すぐに直せないときは、「止める」も選択肢
制作会社と連絡がつかない。古いシステムで、すぐには新しくできない。そういう場合もあります。
国家サイバー統括室は、すぐに直すのが難しいなら、サイトを一時的に止めることも、危険を下げる有効な方法の一つだとしています。EUのセキュリティ機関のCERT-EUも、すぐ直せないなら、インターネットに公開している仕組みを切り離すことを検討するよう書いています。
止めるか、動かしたまま直すのを待つか。この判断は、現場の担当者には下せません。決められるのは社長だけです。
第6章：やってはいけないことが、4つあります
善意でやったことが、かえって危なくなることがあります。今回の件で特に気をつけたいのは、次の4つです。
NG1：ネットで見た設定を、自分で書きかえる
「すぐ直せないときの応急処置」として、PHPの設定を変える方法がネットで出回っています。PHPの公式サイトにも、詳しい人向けの応急処置が載っています。
ただし公式は、それでは「安全にはならない」とはっきり書いています。
There are no complete mitigations, updating is the only safe choice.
「完全な応急処置はない。修正版に更新することだけが安全な選択」という意味です。実際、GMO Flatt Securityは、ある設定を変えるだけではすり抜けられると判断した、とXで続報を出しています。設定は、サーバー会社か制作会社に任せてください。
NG2：WordPressやプラグインを更新して、安心する
第2章のとおり、欠陥は厨房係のPHPにあります。レシピと内装のWordPressを新しくしても、厨房係は古いままです。Cloudflareも、サイトのプログラムやプラグインを更新するだけでは直らない、と書いています。
NG3：入口の見張りがあるから大丈夫、と考える
Cloudflareは、無料プランを含む利用者に、今回の攻撃を止めるルールを自動で入れました。サイトの入口で怪しい通信を止める見張りの仕組みで、WAFと呼ばれます。
ありがたい対応です。ただ、Cloudflareの技術のトップ自身が、Xで「つなぎにすぎない」と書いています。第3章のとおり、攻撃者は見張りをすり抜けようと手を変えてきています。見張りがあっても、厨房係を直す作業は必要です。
NG4：古い版のまま「様子見」する
8.2より前の系列は、PHPの開発チームから修正版が出ません。PHPの公式は、配布元や長期サポートの業者に問い合わせるか、サポート中の版に上げるよう求めています。
もう1つ、見落としやすい期限があります。8.2系列も、2026年12月31日でサポートが終わります。 今回の修正版で直っても、あと2か月ほどで、次の欠陥には修正が出なくなります。今回の問い合わせのついでに、「8.2を使っているなら、いつ上の版に移るか」も聞いておくと、二度手間になりません。
まとめ：直す場所は厨房係、決めるのは社長です
今回の欠陥は、ウェブサイトの厨房係であるPHPそのものにありました。ログインなしで、外から厨房を乗っ取られるおそれがある。しかも修正版が公開された直後から、狙われやすくなる。首相まで「今夜」と呼びかけるほど、急ぐ話でした。
ただ、社長が自分でサーバーを直す必要はありません。必要なのは、「うちのサイトはPHPで動いているか」「誰が直すのか」「いつ直るのか」を、はっきりさせることです。
いきなり全部やる必要はありません。やることは、1つだけです。
第5章の問い合わせ文を、制作会社かサーバーの担当者に送ってください。
返事が来て「直りました」と分かれば、それで終わりです。一度「誰が何を直すか」を決めておくと、次に同じような騒ぎが起きても、もう慌てずに済みます。
AIは進化が本当に速いです。一人で最新情報を追い続けるより、実践している人から学ぶ方が、圧倒的に速いです。
最後までご覧いただきありがとうございました。
【AIと𝕏を仕事に活かしたい人のためのオプチャやってます！】
🎁参加特典🎁
■AI仕事術スターターキット
①プロンプト200選
②Gem20選
③Claude Skills7選
AI初心者・見るだけ参加もOKです！ まずは気軽にのぞいてみてください！
↓こちらからご参加ください。
オープンチャット「𝗔𝗜×𝗻𝗼𝘁𝗲徹底攻略」
【📣お知らせ②📣】
経営者・事業者向けAI顧問サービスを始めました。
【サービス内容】
・SNS自動化支援（X、Threads、Instagram、TikTok、YouTube）
・AI社員構築支援
・AIツール、アプリ制作
ご要望に応じて個別にカスタマイズし、売上を最大化します。
