昨夜から、私も断続的に対応に追われています。
昨夜から今朝にかけて、いろいろなサイトが「ただいまメンテナンス中です」になっているのを見た方は多いはずです。通販サイトが開かない。動画が見られない。オンラインゲームは、今朝になってもまだ復旧していないものがあります。
これは障害ではありません。各社が自分の判断で、先に止めたのです。
理由はひとつです。PHPというプログラミング言語に、深刻度「緊急」の脆弱性が2件見つかりました（CVE-2026-109618、CVE-2026-109619。CVSS v4.0で9.2、通称「php2shell」）。PHPは、サーバー側の言語が判別できたWebサイトの69.3%で使われています。つまり世界のサイトの約7割が、同じ穴を持っていたことになります。
note記事では、次の内容を扱っています。
- 何が起きているのか。PHP公式の告知を読むと「完全な緩和策は存在せず、更新が唯一の安全な選択」と書かれています。WAFでも設定変更でも逃げられません
- いちばん悪いのは、アプリのコードが1行も動く前に、認証なしで成立すること。WordPressでもLaravelでも関係なく影響します
- 修正版は8.5.12／8.4.27／8.3.36／8.2.35。サポート終了済みの7.4／8.0／8.1にもパッチが出た異例の事態
- なぜ公開が1日前倒しになったのか。CVE番号が先に漏れていました
- 発見したのは、AIと22年前の報告を覚えていた人間でした。特別なモデルは使っていません
- 当面の対策を立場別に。サーバー管理者（7項目。見落としがちなのはレンタルサーバーのPHPバージョン設定と、更新後のログ確認）／SNS利用者／一般の方
- これからどうなるのか。詐欺は確実に増えます。来る文面を先に4つ書き出しました
- AI規制の強化？ 私はこの筋には乗りません。理由を3つ書きました
- ネット規制の強化？ 来るとすれば「AI規制」ではなく「古いソフト規制」です。根拠は「35%」という数字
急ぎの方は、第2章の対策だけでもお読みください。
本記事の情報は2026年10月22日時点のものです。対応状況・復旧状況は時間とともに変わりますので、必ず公式の一次情報をご確認ください。セキュリティ対応および投資の判断は自己責任でお願いします。
コメント