多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？

Security advisory: Critical remote code execution vulnerabilities, update now（PHP）より

　10月21日、スクリプト言語「PHP」の深刻な脆弱性2件が発表されるとともに、同日23時に修正プログラムの提供が予告された。CVE-2026-109618、CVE-2026-109619の2つで、CVSS 4.0のスコアはいずれも9.2。全てのPHPが影響を受け、認証なしでリモートコード実行が可能になるおそれがある。この脆弱性は「php2shell」とも呼ばれる。

　「リモートコード実行が可能になるおそれ」とは、遠隔から任意のプログラムを対象のサーバー上で実行可能になるということで、攻撃者が既存のウェブサイトを書き換えたうえでアクセスしたユーザーに何らかの攻撃を加えたり、サーバー上のデータを窃取したりと、さまざまな悪意ある行為が可能になる可能性がある、極めて深刻な脆弱性だ。

被害拡大前の「予防的公開停止」は今後も増えるか

　この脆弱性の発表を受け、多くのサービスでは緊急メンテナンスが告知された。また、予防的に公開を停止することを告知するサービスやウェブサイトも多数あった。

　PHPはサーバー上で動作し、多くのウェブアプリケーションで利用されている。SNSでは、PHPを使用しない、HTMLだけのウェブサイトなら問題なくアクセス可能ではないか、との声もあったが、そのウェブサイトが設置されているサーバーにPHPが組み込まれていれば、影響は免れない。

　本件の脆弱性が明らかになる前にも、多くのサービスで不正アクセス・情報漏えいが続いている中で、不正アクセスの試行を検知してサービスを停止した例があった。ソフトバンクでは、「第三者による不正アクセスの試みが判明した」として、「My SoftBank」「My Y!mobile」「My Menu」のウェブサイトを10月17日に一時停止している（発表されたのは19日）

　マネックス証券では、10月20日に、不正アクセスの試みを検知して、予防的措置として「証券総合取引口座」の新規開設受付を一時的に停止している。

　現在のサイバー攻撃では、攻撃対象のシステムに侵入（不正アクセス）後、時間をかけてデータの窃取などを行うタイプの攻撃もある。従来は、ユーザーの利便性を優先し、不正アクセス試行の形跡などがみられても運営を継続しながら対応をはかる例があったかもしれないが、今後は、試行の形跡のような攻撃の初期段階とみられる兆候を検知した段階でこのような「予防的なサービス停止」を行い、早期の抜本的対応をはかる例が増えるかもしれない。

　本件に関連しては、X（旧Twitter）の国家サイバー統括室（NCO）のアカウント（@cyber_forecast）が、「修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」とのポストをしている。

Xで高市総理が「皆様に大至急のお願い」

　Xにて、高市早苗総理大臣のアカウント（@takaichi_sanae）が、21日21時55分に、「皆様に、今夜に対応して頂きたい大至急のお願いです」として、本件に関するポストを行った。

　呼び掛け対象は「皆様」となっているが、PHPの脆弱性の対応はサーバー管理者、レンタルサーバー事業者が行うもので、一般のユーザーが直接的にできることはない。ただ、インターネットを利用する誰もが影響を受けるこの問題に関して、認知を高める効果があったであろう。このポストでも、予防的な公開停止に言及されている。

脆弱性を発見したのはAI―OpenAIの「GPT-5.6 Sol」

　OpenAIは、今回のPHPの深刻な脆弱性を発見したのは「GPT-5.6 Sol」であると発表した。同社が2026年6月に立ち上げた、オープンソースソフトウェア（OSS）の脆弱性発見・修正をAIで支援する取り組み「Patch the Planet」の一環として、セキュリティ企業のCalifがGPT-5.6 Solを使用し、脆弱性を特定したという。クラウドセキュリティ企業のWizや、Cloudflareといったパートナーについても言及されている。

　セキュリティにおけるAIの能力は、主に2つの方向性で注目されている。1つは、24時間休まず動き続けられるため、人間とは比較にならないレベルで手数が増えること。昨今の多発する不正アクセスは、AIのこの能力によるものと推測する声が多い。

　もう1つは、未知の脆弱性の発見において、高度な分析により人間には難しい発見が可能になること。こちらに関しては、防御する側が攻撃側よりも先に脆弱性を発見し、攻撃が行われる前に修正プログラムを適用することが重要になる。OpenAIでは「私たちが知る限り、フロンティアAIが攻撃者に先んじてこれらの脆弱性を突き止めることができた。これにより、公表前に修正プログラム適用などの防衛手段を講じるための『Defender’s Window』（防御側の時間的猶予）が確保された」とコメントしている。

対応を断念し、公開終了するサービス・サイトも

　PHPの深刻な脆弱性が明らかになったことを受け、対応を断念して提供終了を告知するサービスや、閉鎖するウェブサイトも現れている。古くから公開され、メンテナンスが十分でないサービス・サイトでは、告知なく未対応のケースもあると考えられる。

　サーバー側で動作するPHPの脆弱性に関して、ユーザーが直接的にできる対策はない。対応完了が告知されているサービス・サイトは、対応されたものとして利用できるが、対応されているかどうか明らかでないサービス・サイトが脆弱性を悪用されていた場合、どのようなことが起こるかは、現段階で正確に予測することは難しい。せめてもの対策としては、サービス・サイトの不審な挙動に注意するとともに、公開されている情報が正確か、複数のウェブサイトでチェックすることなどを心がけるといいだろう。