今日、会社の上の人たちが、ニュースの話をしていた。
「PHPの問題らしいけど、なにがどうなってるのか、よく分からん」
ヤフーニュースで識者の見解を読んだ人もいれば、「取引先と打ち合わせしている時にPHPの話出てさ、システムの人は昨日から徹夜らしい」と噂する人もいた。
うちも関係している。それは、もう分かっている。
この記事は、前回の記事の続きだ。前回は、うちの会社のホームページを、剣と魔法の世界のお店にたとえて、魔導書の欠陥と、「誰が直すのか」を書いた。
PHPの緊急脆弱性、うちの会社は何をすればいい？〜情シスのいない中小企業で整理してみた〔その1〕〜
そのたとえでは、ホームページを作ってくれた制作業者さんを「大工さん」、ホームページを置くサーバーを貸してくれているサーバー会社を「領主」と呼んでいる。登場人物の全体は、このあとのおさらいの表にまとめてある。
念のため、上にはPHPの問題を報告してある。大工さんに相談していることと、領主の対応を待っていることも、あわせて共有した。上からは、「任せる」と言われた。だから、ここは任されることにした。
ここで私が「このままではまずいです！」と騒いでも、場を混乱させるだけだ。領主の対応を待つのも、一つの仕事だと思う。
大工さんも、こちらの状況に寄り添って、修正が出ればすぐに対応します、と言ってくれている。
だから、今できることは、待つこと。ただ、待つといっても、何もしないわけじゃない。返事が来たらすぐに動けるように、頭の中を整理しておく。そのために調べたことを、ここに書いておく。
今回は一歩戻って、「そもそもPHPとは何者なのか」「いつ頃から問題の気配があったのか」「どうやって見つかったのか」「なぜここまで大ごとになったのか」を、同じ剣と魔法の世界にたとえながら整理する。
※この記事の内容は、2026年10月22日時点で私が調べた範囲のものです。正確な情報や最新の状況は、記事の最後に載せた公的機関のページなどを確認してください。
まずは、登場人物と言葉のおさらい
前回を読んでいない人のために、先におさらいしておく。
うちの会社のホームページは、領主が治める城下町に、場所を借りて構えたお店だ。お店の店員は私たちで、旅人（ホームページを見に来る人）の相手をするときは、町の魔法使いが、魔導書の呪文で手伝ってくれる。
魔導書の中身を直せるのは、領主だけ。お店にできるのは、領主が用意してくれた写本の中から、どれを使うか選ぶところまでだ。
登場するものは、こうなる。前回読んだ人は、読み飛ばしてもらっていい。
| 剣と魔法の世界 | 現実の世界 |
|---|---|
| 王国の城下町 | サーバー（ホームページを置いておく場所） |
| 町を治める領主 | サーバー会社 |
| 町に構えたお店 | うちの会社のホームページ |
| お店を建ててくれた大工さん | ホームページの制作業者さん |
| お店の店員 | うちの会社の担当者（私たち） |
| 領主が雇っている、町の魔法使い | サーバーの中で、ホームページを動かしている仕組み |
| 魔法使いが使う魔導書 | PHP |
| 魔導書の写本 | PHPの版（バージョン） |
| 魔導書を作った賢者の塔 | PHPの開発チーム |
| 魔導書の欠陥 | 脆弱性（悪用されると危ない弱点） |
| 欠陥を直した新しい写本 | 修正版（パッチ） |
| 悪い魔術師 | ホームページを攻撃する人 |
| 町の外から来た査察官 | 外部のセキュリティ監査（第三者による点検） |
| 疲れを知らない弟子 | AI（人工知能）の道具 |
| 旅人 | ホームページを見に来る人 |
魔導書の正体は、一人の魔法使いの覚え書きだった
この魔導書の題名は、ちょっと変わっている。
最初の題名は「Personal Home Page」。つまり、「私のホームページ」という意味だった。今の正式な題名は「PHP: Hypertext Preprocessor」。頭文字のPHPが、題名の中にもう一度出てくる。魔導書の題名に、「この魔導書」と書いてあるようなものだ。
始まりは、一人の魔法使いの覚え書きだった。1990年代のはじめ、ラスマス・ラードフさんというプログラマーが、自分のホームページを書き換えるための、小さな道具を作った。それが世に出たのは、1995年。
便利だったから、ほかの魔法使いたちが、これを写して使い始めた。写しては直し、直しては配る。それを何度も繰り返すうちに、いつしか、世界中の町で使われる魔導書になった。
今では、ホームページを動かす魔法の、かなり大きな部分を担っている。前回書いたとおり、ブログでよく使われるWordPressも、中身はPHPで動いている。
| 魔導書の世界 | 現実の世界 |
|---|---|
| 一人の魔法使いの覚え書き | 1990年代のはじめに、個人のホームページ用に作られた道具 |
| 初めて世に出た写本 | 1995年の最初の公開 |
| 写本が何度も書き直される | 5（2004年）、7（2015年）、8（2020年）と、版を重ねてきた |
| 古い写本を使い続ける町 | 古い版のままホームページを動かしているサイトも、まだ少なくない |
うちも、今年の6月に、使う写本を古いものから新しいものへ選び直したばかりだった。それでも今回は、新しい系統の写本にも、欠陥が見つかった。
魔導書は、誰でも読めるからこそ、欠陥が見つかる
PHPの魔導書は、中身が公開されている。誰でも写して、読んで、自分の町で使っていい。
これは、強みでもあり、弱みでもある。
強みは、世界中の目で点検できること。欠陥に気づいた人が、賢者の塔に知らせれば、直してもらえる。
弱みは、悪い魔術師も、同じ魔導書を読めること。良い魔法使いが欠陥を探せるのなら、悪い魔術師にも、同じことができる。
欠陥の気配は、いつからあったのか
ここは、技術系メディアの記事（リンクは最後に載せた）が、PHPの開発を支えている団体の説明として紹介していた内容をもとに書く。私が確認できたのは、この記事ひとつなので、細かいところは、公式の発表とも照らし合わせてほしい。
| 時期 | 起きたこと |
|---|---|
| 2024年 | 町の外から来た査察官が、魔導書を点検して、いくつか指摘をした。それを直す途中で、今回の欠陥の一つにつながる「気配」は、見つかっていた。ただ、どう悪用されるのかが分からず、ほかの問題が優先された |
| 2026年8月11日 | 別々の組織が、同じ根っこの欠陥を、同じ日に報告したとされる。ここから、修正が最優先になった |
| 8月から10月 | 修正は、判断の遅れや人手不足で、止まったり、進んだりした、と説明されている |
| 10月20日 | 「欠陥がある」という情報が、番号などだけ、先に町の外へ漏れた。この時点では、技術の詳細は漏れていないとされる。開発側は、翌日に緊急の修正版を出すと、事前に知らせた |
| 10月21日（日中） | 研究者とみられる人から、攻撃が成功する様子を映した動画が投稿されたと報じられた。このころから、攻撃に使えるとされるコードも、出回り始めた |
| 10月21日（夜） | 公開の予定を前倒しして、日本時間の夜11時ごろに、修正版が配られた |
気配だけなら2024年ごろ、確かな報告は2026年の8月。気配から報告まで、二年ほどかかっている。そして、報告から修正版が出るまでも、二か月以上かかった。
責めたいわけじゃない。直すのは、見つけるよりずっと手間のかかる仕事なんだと思う。魔導書は世界中の町で使われているから、一行直すにも、慎重に確かめないといけないはずだ。
ただ、「見つかること」と「直って届くこと」の間に、これだけ時間があった。その間、私たちの町は、何も知らずに魔導書を使っていたことになる。
どうやって見つかったのか
見つけたのは、一人の天才ではなく、複数の組織だったとされている。セキュリティの会社などが、それぞれ魔導書を点検して、同じ欠陥にたどり着いた。
面白いのは、点検にAIの道具を使ったと明かしている会社がある、と報じられている点だ。魔導書を一行ずつ読んで、欠陥を探す。その手伝いを、疲れを知らない弟子にさせる。そんなイメージだと思う。
ここからは、私の推測。弟子を雇えるのは、良い魔法使いだけじゃない。悪い魔術師も、同じような弟子を雇えるかもしれない。そうなると、欠陥が見つかる速さも、悪用が始まる速さも、これまでより上がっていくのかもしれない。
実際、今回も、修正版が配られる前後から、攻撃を試みる動きが観測されたと、防御の仕組みを提供している会社が発表している。
「そのうち更新すればいいか」という感覚は、これから通りにくくなっていく。そんな気がしている。
なぜ、ここまで大ごとになったのか
魔導書の欠陥が見つかること自体は、実は珍しくない。大きな魔導書だから、欠陥はこれまでも何度か見つかって、そのたびに、静かに直されてきた。
今回は、そうならなかった。理由は、悪い条件がいくつも重なったからだと思う。調べた範囲で、順番に並べておく。
一つ目：欠陥そのものが、重かった
合言葉も通行証もいらない。町の外から呪文を唱えるだけで、魔法使いを操れてしまう恐れがある。深刻度は、最も高い区分に近いとされている。
二つ目：影響が、広かった
世界中の町で、同じ魔導書が使われている。WordPressのような、よく使われる仕組みでも成り立つと報告されている。お店の道具が動き出すより前に、攻撃が成り立つ構成もあるとされる。
三つ目：応急処置では、防ぎきれなかった
設定を変えれば、一部の攻撃は防げる。でも、それで完全に防げるわけじゃない。確実に直すには、新しい写本に差し替えて、魔法使いを起こし直すしかなかった。
四つ目：直る前に、手口が出回った
修正版が配られる半日ほど前に、攻撃が成功する様子を映した動画が投稿されたと報じられた。攻撃に使えるとされるコードも、出回り始めていた。「まだ直っていない扉の開け方」が、先に広まったわけだ。町は、新しい写本が届くまで、身を守る手段が限られていた。
五つ目：修正版が出たあとも、攻撃が増えた
新しい写本が配られたあとも、攻撃に使えるコードは次々に出てきて、攻撃の数は短い時間で桁違いに増えた、と報じられている。
六つ目：直すのは、町ごと、領主ごと
魔導書を差し替えられるのは、領主だけ。お店は待つしかない。その間に、国内でもサービスの停止や緊急メンテナンスが相次ぎ、首相までが呼びかける事態になった（後ほど触れる）。
ここからは、私の推測。もし、直る前に手口が出回っていなかったら、「今夜中に」という騒ぎにはならなかったのかもしれない。ただ、欠陥そのものが重かったから、いずれにしても、大きな修正にはなったと思う。重さが土台にあって、手口の流出が、緊急度を一段引き上げた。そんな順番に見えた。
欠陥は、2つあった
前回書いた「魔力の残りかす」は、2つあるうちの、二つ目の欠陥に近い。
依頼が終わったあとに、前の依頼の跡が消えずに残る。それを、次の依頼のときに使われてしまう。現実の世界では、リクエストが終わったあとに内部の状態が消えず、すでに解放されたはずの場所を、次のリクエストで使ってしまう問題、らしい。
一つ目は、魔力が足りなくなったときの話。魔法陣を描いている途中で力尽きて、中途半端な陣が残ってしまう。その陣を、片付けの魔法が使ったときに、悪用される。現実の世界では、メモリが足りなくなったときに、内部の準備が途中で止まって、不完全な状態が残る問題、らしい。
どちらも、魔法を使うところではなく、後始末の場面に関わる問題らしい。魔法は、使うことより、後始末のほうが難しいのかもしれない。
首相も、サイトを一時的に止めたと発信していた
この件については、首相自身もXで発信している（リンクは最後に載せた）。
投稿によると、首相の公式サイトも、今回の脆弱性への対応のために、事務所からサイト管理者とサーバー管理者に連絡して、いったんアクセスできない状態にしたそうだ。措置が終わって、アクセスを再開できたという報告だった。
そのうえで、「状況によっては、サイトを一時的に停止することも重要だと私自身も改めて感じた」と書いている。
大工さんが言っていた、「状況によっては、お店を一時的に閉める可能性もある」という話と、重なる。お店を閉めるのは、負けじゃない。魔導書が直るまでの間、旅人も、お店も守るための判断なんだと思う。
もう一つ、私が「これは管理部門にも関係がある」と思ったのは、情報の拾い方の話だ。
投稿では、深夜に出た注意の情報に、すぐには気づけない会社もある、と指摘されていた。そういうとき、社内でサイトを担当している人や、委託先のサイト管理者・サーバー管理者が先に気づければ、対応を早く始められる。そのために、政府の「国家サイバー統括室（注意・警戒情報）」のXアカウントを、サイト管理者やサーバー管理者に広くフォローしてほしい、と呼びかけていた。
うちは、今は領主の通知を待っている。でも、待っているだけだと、領主が気づくより前の情報は拾えない。自分でも、情報を取りにいく入口を一つ持っておく。それは、情シスのいない会社の管理部門にも、できることだと思った。
うちの町は、今どうなっているのか
領主には、問い合わせを入れた。返事は、まだない。
大工さんからは、返事があった。領主の対応が済んで、新しい写本が用意されたら、使う写本をそちらに選び直してほしい、とのことだった。それ以外の作業は、今の段階では要らないらしい。領主から通知が来たら、大工さんにも転送することになっている。
状況によっては、お店を一時的に閉める可能性もある、とも言われた。
顔の見える相手は、返事が早い。普段のやりとりの差が、こういうときに出るのかもしれない、と思った。
とはいえ、うちの町の魔導書を直せるのは、領主だけだ。冒頭にも書いたとおり、今は待つのが仕事だ。
上の人に聞かれたら、こう答える
もし、「結局、何が起きてるんだ」と聞かれたら、私はこう答えるつもりだ。
一つ目：PHPは、個人のホームページ用の道具から始まって、世界中で使われるようになったもの
誰でも読める形で公開されているから、世界中の目で点検できる。その代わり、欠陥が出れば、世界中の町に響く。
二つ目：欠陥の気配は2024年ごろからあったが、確かな報告から修正版まで、二か月以上かかった
見つけることと、直して届けることは、別の仕事。その間、私たちは何も知らずに使っていた。
三つ目：欠陥を見つける道具が変わってきていて、悪用の速さも上がるかもしれない
だから、更新の連絡が来たら、早めに動く。それが、これからの基本になりそうだ。
四つ目：直る前に手口が出回って、「待てない状況」になった
欠陥が重かったところに、修正版の半日ほど前から、攻撃の様子を映した動画やコードが出回った。それで、国まで動く騒ぎになった。
専門家じゃないから、全部を正しく言えるとは限らない。それでも、「何がどうなってるのか分からん」と言われたときに、この四つくらいは答えられる。それだけで、少しは役に立てると思う。
領主から返事が来たら、また報告する。
今回の欠陥の番号は、CVE-2026-109618とCVE-2026-109619。通称は「php2shell」と呼ばれている。詳しい情報や最新の状況は、公的機関のページと、元になった記事を確認してほしい。
【事前準備のお願い】PHPのセキュリティリリース公開予定について（IPA）
PHPの重大な脆弱性「php2shell」の概要と対応指針（GMO Flatt Security Blog）
PHPの重大脆弱性「php2shell」、パッチ公開まで待てない（＠IT）
PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws（SecurityWeek）
※英語のサイトです。PHP 5以降の版が影響を受ける可能性があること、CVE番号などの情報が先に漏れたこと、修正版の公開前後に攻撃の試みが観測されたこと、は、この記事の内容をもとにしています。
「総務・労務・経理で悩むあなたに、現場から届けます。」
次の記事では、一夜明けたうちの町のことを書こうと思う。領主から、返事が来た。大工さんとも、電話で話した。
その1で決めた「やること三つ」が、どうなったのか。答え合わせをしてみた。それと、大工さんについて、ちょっと意外な発見もあった。
コメント