10月21日の夜。寝る前に、ふと今日のニュースを開いた。
目に入ったのは、「PHP」の文字だった。
読み進めるうちに、あれ、と思った。これ、うちにも関係あるんじゃないか。思い当たるふしがあった。
そこから調べ始めて、気づいたら深夜2時を回っていた。
おかげで、今日はすっかり寝不足だ。そんな頭で、この記事を書いている。
ITの専門家じゃない私が、眠い目をこすりながら調べて、「どうやら、まとめるとこういうことらしい」と整理したことを書いておく。
※この記事の内容は、2026年10月22日時点で私が調べた範囲のものです。正確な情報や最新の状況は、記事の最後に載せた公的機関のページを確認してください。
10月21日、何があったのか
2026年10月21日。世界中のホームページを動かしている「PHP」という仕組みに、重大な欠陥が2つ見つかった。深刻さは、いちばん上の「緊急」の区分だという。
その日の午後から夜にかけて、国内では、ネットショップの「BASE」や、イラストサイトの「pixiv」、人気のゲームなど、名前を聞いたことのあるサービスが次々と一時停止や緊急メンテナンスに入った。レンタルサーバーの会社も、慌ただしく対応していたらしい。
さらに驚いたのは、その夜、高市首相が自身のXで、この件について呼びかけていたことだ。
書き出しは、「今夜に対応して頂きたい大至急のお願い」。修正版が出たらすぐに適用できるよう、準備を進めてほしい、という呼びかけだった。すぐに対応できない場合は、ウェブサイトを一時的に止めるのも、被害のリスクを下げる有効な手の一つだと触れていた。国のサイバー対策の部署も、同じような呼びかけをしていたそうだ。
高市総理「大至急、PHPパッチ適用を」Xで異例の要請（ITmedia NEWS）
そして、日本時間の夜11時。PHPを作っているチームが、欠陥を直した新しい版を公開した。私がニュースを開いたのは、ちょうどその頃だった。
一つのソフトの欠陥について、首相が夜のうちに、直接呼びかける。思っていた以上に、急がないといけない話らしい。
こんなふうに、同じニュースが世界中を一斉に駆け巡ることは、めったにない。あちこちのサービスが止まり、国のトップまで声を上げる。その慌ただしさに、コロナ禍の始まりの頃を、少し思い出した。
そして、不謹慎だと分かっていながら、少しだけ、わくわくもしていた。今まさに、対応に追われている人たちがたくさんいる。それを思うと、申し訳ない気持ちになる。それでも、歴史に残るような出来事の、その最中にいる。そんな感覚があったのも、正直なところだ。
剣と魔法の世界で考えてみる
PHP。名前は聞いたことがある。でも、何をしているものなのかは、よく分かっていなかった。
最初に読んだ解説は、半分くらい呪文に見えた。そこで、調べたことを、剣と魔法の世界に置き換えてみたら、急に話がつながった。この記事は、そのたとえで書いてみる。
まずは、登場するものを並べておく。…長いから一旦読み飛ばしてもらっていい。
| 剣と魔法の世界 | 現実の世界 |
|---|---|
| 王国の城下町 | サーバー |
| 町を治める領主 | サーバー会社 |
| 町に構えたお店 | うちの会社のホームページ |
| お店を建ててくれた大工さん | ホームページの制作業者さん |
| お店の店員 | うちの会社の担当者（私たち） |
| 店先の窓口 | サーバーの受付（ホームページへのアクセスを最初に受ける入口） |
| 領主が雇っている、町の魔法使い | サーバーの中で、ホームページを動かしている仕組み |
| 魔法使いが使う魔導書 | PHP |
| 魔導書の写本 | PHPの版（バージョン） |
| 魔導書を作った賢者の塔 | PHPの開発チーム |
| 店先の掲示 | ホームページのお知らせ（ニュース・トピックス） |
| 奥の倉庫 | データベース（お知らせなどの情報をしまっておく場所） |
| 旅人 | ホームページを見に来る人 |
| 旅人の依頼 | ホームページへのアクセス |
| 旅人の手紙 | 問い合わせフォームからの送信 |
じゃあ、うちの町はどうなのか。その前に、まず町の仕組みから話すね。
多くの会社は、町を丸ごと持っているわけじゃない。領主が治める町の一角に、場所を借りてお店を構えている。たぶん、うちもそうだ。
お店には、ちゃんと店員がいる。新しい品が入ったとき、休みの日が決まったときに、掲示に書く内容を考えるのは店員の仕事だ。書いた掲示は、奥の倉庫に預けておく。旅人から届いた手紙を読んで、返事を書くのも店員の仕事。
ただ、こういう町には、決まりが一つある。お店と旅人のやりとりは、すべて町の魔法使いを通すこと。
魔法使いは、お店の店員じゃない。領主が雇って、町に置いている魔法使いだ。
魔法使いの仕事は、旅人の頼みを聞いて、店員の手が届かないことを、魔導書の呪文でこなすこと。いちばん新しい掲示を取り出して見せたり、旅人が書いた手紙を店員の机まで届けたりする。店員が店の奥で作業をしていても、旅人が何人来ても、順番にさばいてくれる。魔法使いがいなければ、お店は、看板を掲げているだけの店になってしまう。
お店の店先には、領主が用意した小さな窓口があって、旅人はまずそこに来る。窓口に座る魔法使いは、町に数人しかいない。一人で何軒もの窓口を掛け持ちして、順番に回っている。
この決まりは、お店にとっても領主にとっても都合がいい。
お店は、貸し賃を払うだけで、この便利な魔法使いの力を借りられる。自分で魔法使いを雇おうとすれば、探す手間も、給金も、魔導書の手入れも、全部自分で抱えることになる。でも、町の決まりに乗れば、借りたその日から商売が始められるし、魔導書の手入れも領主がやってくれる。
領主は、お店の数だけ貸し賃が入るから、財政が潤う。魔法使いを町に数人置いて、みんなで共有してもらう形なら、一軒あたりの負担も小さい。窓口を一つに絞っておけば、町全体の魔導書を同じ版にそろえて、見張りもしやすい。そうして余裕ができれば、魔法使いを増やしたり、城壁や見張りを整えたりして、町をさらに発展させられる。だからこそ、多くの会社がこういう町を選ぶ。
そのかわり、お店は魔導書を自分で書き換えることができない。
旅人は、窓口で「入荷の掲示を見せて」と頼む。魔法使いは魔導書の呪文を唱えて、奥の倉庫から預けてある掲示を取り出し、旅人に見せる。
旅人が、お店宛てに手紙を書くこともある。「この品を取り寄せられますか」「見積もりがほしい」といった内容だ。旅人は手紙を窓口に預け、魔法使いが呪文で奥の店員まで届ける。
そして、この魔導書は、世界中の町で、同じものが使われている。つまり、魔導書に欠陥が一つ見つかれば、直るまでは、世界中の町が同じ欠陥を抱えることになる。
しかも、さっき書いたとおり、お店は魔導書を自分で書き換えられない。欠陥が見つかったとき、お店にできるのは、「直してください」と領主に頼むことだけだ。
魔導書に見つかった欠陥
今回見つかった欠陥を、この世界で言うと、こういうことらしい。
魔法使いは、旅人の依頼を一つこなすたびに、描いた魔法陣を片付けることになっている。ところが、ある条件がそろうと、前の依頼の魔力の残りかすが、消えずに残ってしまう。
悪い魔術師は、そこを狙う。わざと片付けを失敗させて、残った魔力の上に、自分の呪文を重ねる。すると、町の魔法使いを思いのままに操れてしまう。宝物庫の扉を開けさせることも、お店を荒らすことも、ほかの町を襲う手先にすることも、できてしまう。
しかも、合言葉も通行証もいらない。町の外から、呪文を一度唱えるだけでいい。現実の世界で言えば、ログインもパスワードもなしに、外から攻撃が成り立ってしまう恐れがある、ということだ。「緊急」と言われたのは、このためだ。
驚いたのは、この欠陥が、魔導書のずっと古い写本の頃から、潜んでいた可能性があるらしいことだ。もしそうなら、誰も気づかないまま、世界中の魔法使いが、欠陥のある呪文を唱え続けていたことになる。
映画なら、ここでBGMが不穏になるところだと思う。ホラー作品なら「祠を壊した」まさにその場面だし、ポストアポカリプスものなら「世界が終わる最初の一日」の話になる。どの作品でも、導入部分に当たる場面だ。
しかも、気づかなかったのは魔法使いたちだけで、私たち（魔法の呪文を借りて暮らす側）は、あまりに当たり前すぎて、そもそも唱えられていることすら知らなかった。
どんな影響があるのか
影響を受ける可能性があるのは、PHPで動いているホームページの、かなり広い範囲だという。ブログでよく使われるWordPressのような仕組みでも、攻撃が再現できたと報じられている。
そして、私の「思い当たるふし」は、ここだった。うちの会社のホームページも、PHPで動いている。うちのお店でも、町の魔法使いが、同じ魔導書を使っていたのだ。
もし悪い魔術師に操られたら、ホームページを書き換えられたり、預かっている情報を盗まれたり、ほかへの攻撃の足場に使われたりする恐れがある。
私が調べた時点では、実際にどこかのサーバーが乗っ取られた、と確認された報告は見つからなかった。ただ、攻撃しようとする動きは、修正版が出る前から観測されていたらしい。新しい写本が出回れば、どこを直したのかを読み解いて、古い写本のままの町を狙う者も出てくる。だから、のんびりはしていられない。
欠陥を直すのは、誰の仕事なのか
深夜2時まで調べて、私が一番迷ったのは、ここだった。
あの夜、各地の町は、慌てて門を閉ざした。サービスの一時停止や、緊急メンテナンスのことだ。王からも、「今夜中に備えよ。難しければ、門を閉ざすのも一つの手だ」というお触れが出た。首相の呼びかけは、まさにそれだった。
そして夜更け、魔導書を作った賢者の塔、つまりPHPの開発チームが、欠陥を直した新しい写本を配った。
ここからが大事なところだ。直すには、町の魔導書を新しい写本に差し替えて、魔法使いたちを一度眠らせて、起こし直す必要があるらしい。現実の世界で言えば、PHP本体を新しい版に更新して、サーバーを再起動することだ。
お店の内装（ホームページのプログラム）を、いくら直しても意味がない。魔法使いが唱える呪文そのものが、直らないからだ。
うちのように、領主が治める町に場所を借りている場合、魔法使いを雇っているのも、魔導書を持たせているのも、領主だ。だから、魔導書を差し替えるのは、基本的には領主、つまりサーバー会社の仕事になる。
ただし、新しい写本は、呪文の決まりが少し厳しくなっているらしい。今まで普通に使えていたお店の道具が、差し替えのあとに、うまく動かなくなることもあるかもしれない。だから、差し替えが済んだら、お店の道具がちゃんと動くかを確かめておく必要がある。
うちの会社として、これからやること
ここまで整理して、お店の主として、うちがやることを三つに絞った。
一つ目：領主（サーバー会社）に、魔導書を差し替えたか確かめる
新しい版への更新が済んだのか、まだならいつ頃になるのかを確認する。
二つ目：大工さん（制作業者さん）に、お店の側で直すところがないか聞く
ホームページのプログラムの修正が必要なのか、差し替えのあとに確認しておくべきところはあるのか。それを聞く。
三つ目：差し替えが済んだら、お店の道具を自分で試す
お知らせの掲示（お知らせの投稿）ができるか。問い合わせの投函口（問い合わせフォーム）から送信できるか。普段使っている機能を、ひととおり触ってみる。
一つ目と二つ目は、寝不足の頭のまま、朝いちばんにメールを送った。
自分の理解が合っているのか、自信はなかった。だから、「私はこう理解していますが、合っていますか」という形で聞くことにした。分からないことを、分からないまま丸投げするより、自分なりの理解を添えたほうが、相手も答えやすいと思ったからだ。
情シスのいない会社で
うちには、情報システムの専門の部署がない。だから、こういう話は、管理部門の私のところに回ってくる。前にホームページのサーバー移行が降ってきた話を書いたけれど、今回もまた、似たような立場で頭を抱えている。
専門家じゃないから、全部を正しく理解できているとは言えない。それでも、ニュースを読んで、身近なものにたとえて、誰の仕事で、何を確かめればいいのかを整理する。それくらいなら、私にもできた。
もし、同じようにニュースを見て固まっている人がいたら、まずは自社のホームページを「誰が作って」「どこのサーバーに置いていて」「誰が管理しているのか」を確かめるところから始めてみてほしい。どの町に、誰が建てたお店があって、町を治めているのは誰なのか。それが分かれば、誰に何を聞けばいいかが見えてくる。
領主と大工さんから、どんな返事が来るのか。うちのお店の魔導書は、ちゃんと新しい写本に差し替わるのか。分かったら、また報告する。
今夜は、早く寝ようと思う。
詳しい情報や最新の状況は、公的機関のページを確認してほしい。
【事前準備のお願い】PHPのセキュリティリリース公開予定について（IPA）
「総務・労務・経理で悩むあなたに、現場から届けます。」
次の記事では、少し一歩戻って、「そもそもPHPって何者なの？」「いつ頃から問題の気配があったの？」「どうやって見つかったの？」「なんでここまで大ごとになったの？」を整理してみようと思う。
今回と同じ、剣と魔法の世界にたとえて書くから、続きとして読んでもらえたらうれしい。
PHPの脆弱性、なぜここまで大ごとになった？欠陥の正体と見つかった経緯〜情シスのいない中小企業で整理してみた〔その2〕〜
コメント