PHPの脆弱性、一夜明けて答え合わせをした〜情シスのいない中小企業で整理してみた〔その3〕〜

夜が明けた城下町は、静かだった。門を閉ざしていた町も、ぽつぽつと開き始めている。うちのお店も、開いている。

電話の向こうの大工さんの声は、疲れていた。聞けば、起きて丸一日になるという。

第一声は、お詫びだった。「メールをいただいていたのに、ご連絡が遅くなり申し訳ありません」。

謝らなければいけないのは、どう考えても、私のほうじゃない。丸一日起きっぱなしで、いろいろな町のお店の対応に追われていたはずの人が、まず頭を下げる。ちょっと気の毒になって、それから、ありがたかった。

その2の冒頭で、「システムの人は昨日から徹夜らしい」という噂話を書いた。あれは、ただの噂話じゃなかった。その噂の本人と、私は今、電話で話している。

一方、会社の上の人たちはというと、今日も相変わらずだった。何がどうなってこうなっているのかは分からないけれど、「大変そうだなぁ」。完全に、他人事である。

責めるつもりはない。「任せる」と言われたのだから、他人事でいてもらえるのは、任された仕事がうまく回っている印かもしれない。

この記事は、前回までの続きだ。一夜明けて、うちの町がどうなったのかを書いておく。

PHPの緊急脆弱性、うちの会社は何をすればいい？〜情シスのいない中小企業で整理してみた〔その1〕〜

PHPの脆弱性、なぜここまで大ごとになった？欠陥の正体と見つかった経緯〜情シスのいない中小企業で整理してみた〔その2〕〜

剣と魔法のたとえは、これまでと同じだ。ホームページを作ってくれた制作業者さんが「大工さん」、ホームページを置くサーバーを貸してくれているサーバー会社が「領主」、サーバーの中でホームページを動かしている仕組みが「魔法使い」、そのPHPが「魔導書」。登場人物の全体は、その2のおさらいの表を見てほしい。

※この記事の内容は、2026年10月23日時点で私が調べた範囲のものです。正確な情報や最新の状況は、記事の最後に載せた公的機関のページなどを確認してください。

領主から、返事が来た
「やること三つ」を、クエストにして答え合わせ
うちが楽だったのは、6月に引っ越していたから
大工さんは、旅の大工だった
あの一晩と、「被害は確認されていない」
町を変えるかどうか

領主から、返事が来た

昨日問い合わせた領主から、今日の昼前に、返事が届いた。

一言でまとめると、「お店のほうで、やることはありません」。ありがたい一言だ。

昨日のうちに、うちの町で使っている魔導書を、欠陥の直った新しい写本に差し替えたという。領主の告知を読むと、差し替えが終わったのは、昨日の夜7時台。魔導書のすべての版が対象だった。新しい写本が配られたのが21日の夜だから、丸一日はかからなかったことになる。告知には、領主の町への不正アクセスは確認されていない、という一文もあった。

一方で、領主は、お店の中身を触るための道具の一部を、一時的に止めている。ホームページを編集する仕組みや、ファイルを出し入れする場所、決まった時間に動く仕掛けの設定などだ。再開の時期は、告知には書かれていない。古い環境を使っているお客さんの中には、お店ごと閉まっているところもあるそうだ。うちは新しいほうの環境だったので、公開中のお店は、そのまま開いている。

「やること三つ」を、クエストにして答え合わせ

その1の最後で、うちがやることを三つに絞った。一日たったので、クエストの達成状況を確認してみる。

クエスト	結果
魔導書が差し替わったか、領主に確かめよ	達成。昨日の夜のうちに完了していた
大工さんに、お店の側で直すところがないか尋ねよ	達成。直すところはなし。大工さんいわく、一段落
お店の道具を、自分で試せ	一部達成。公開中のページと問い合わせフォームは無事。管理者向けの道具は封鎖中なので、再開を待つ

三つ目のクエストで、私が唱えた呪文は、たった一語だ。問い合わせフォームの件名に「test」、本文にも「test」。勇者の最初の呪文としては、地味すぎる。でも、ちゃんと動いた。

報酬の経験値は、ゼロ。でも、「何も起きなかった」という結果は、いちばんありがたい戦利品だと思う。

お店の側で必要な修正の作業は、なかった。領主が魔導書を書き換えてくれたからだ。ただ、何もしなかったわけじゃない。ニュースを読んで、領主と大工さんに聞いて、返事を待って、確かめた。それが、今回の私の仕事だった。

うちが楽だったのは、6月に引っ越していたから

お店の側でやることが少なかった理由を、考えてみた。

うちは今年の6月に、ホームページのサーバーを引っ越した。ホームページのサーバー移行が降ってきた話は、前にも書いた。そのとき、使う写本を、新しい系統のものに選び直している。

今回の修正版が出たのは、新しい系統の写本だけだった。古い系統のまま動いているお店は、そもそも直した写本がなくて、写本を乗り換える作業から始めないといけない。そこに、新しい写本は呪文の決まりが少し厳しい、という話が重なる。急いで乗り換えて、お店の道具が動かなくなる。そんなことも、起こりうる。

うちは、直した写本が出る系統に、すでに乗っていた。だから、領主の差し替えを待つだけで済んだ。

ひとつだけ、書いておきたい。新しい系統だったから、欠陥がなかったわけじゃない。今回の欠陥は、うちが使っていた系統にもあった。効いたのは、「修正版が出る系統に乗っていたこと」と、「落ち着いた状態で引っ越しを済ませていたこと」だ。

そして、6月の引っ越しは、今回のことを見越した判断じゃなかった。結果的に、運がよかった。でも、その運を、次も当てにするわけにはいかない。

大工さんは、旅の大工だった

今回、いちばん面白かった発見が、これだ。

私は、大工さんのことを、この町に住み着いている職人だと思っていた。ところが、実態は旅の大工だった。いくつもの町を渡り歩いて、たくさんのお店を見ている。領主ごとの動き方まで、肌で知っている。RPGでいえば、町から町へ移動する、情報通のポジションだ。

しかも、魔法使いや魔導書の事情に、むちゃくちゃ詳しい。職業は「大工」なのに、魔法のステータスが、やたらと高い。

おさらいの表の大工さんの行は、こう書き足したほうがよさそうだ。

剣と魔法の世界	現実の世界
お店を建ててくれた大工さん	ホームページの制作業者さん（ほかのお客さんのサイトも多く扱っていて、各サーバー会社の対応の違いにも詳しい）

その大工さんの実感では、今回、いちばん動きが早かったのは、ネットを本業にしている領主だったそうだ。

実際に、そうした会社の告知を読んでみた。新しい写本が配られる前から、予防的に一部のサービスを止めて、翌朝には、一部を除いて再開していた。サポートの終わった古い写本にも、領主のほうで修正を当てていた。そのうえで、今後も新しい欠陥が見つかる可能性があるから、サポート中の版を使ってほしい、と呼びかけていた。

うちの領主は、同じ日の夜に、すべての版の差し替えを終えた。管理者向けの道具の一部は、止まったままだ。

早い遅いの差はあった。ただ、どちらの領主も、一部の機能は止めていたし、被害は確認されていない、と発表している。どちらがいい、悪い、と決めつけるつもりはない。旅の大工の目には、そう見えた、という話として書いておく。

あの一晩と、「被害は確認されていない」

あの夜、多くの領主が慌てて動いた理由を、一日たって出てきた報道から整理してみる。

Cloudflareという会社の経営トップが、22日の午前に、Xで報告している。新しい写本が公表される前の約10時間にも、悪い魔術師が欠陥を狙った試みはあった。公表されてからは、あっという間に桁が変わり、短い時間でさらに膨れ上がったそうだ。

同じ記事には、あるITジャーナリストが、こんな見解を寄せていた。攻撃が増えること自体は、よくある話。気になるのは、公表の前にも試みがあったことだ。今回は、事前に情報が漏れて、新しい写本が配られる前に、攻撃を組み立てることができた。多くの企業が前倒しでサービスを止めたのも、これが理由の一つとみられる、という内容だった。その2で書いた「直る前に、手口が出回った」の話と、つながる。

もう一つ、同じ記事の中に、大事なことが書いてあった。町の入口に見張りを置く仕組みを入れても、それは追加の守りにすぎない。魔導書そのものを直す代わりにはならない、ということだ。

さて、領主の告知にも、ネットを本業にしている会社の告知にも、不正アクセスや被害は確認されていない、という趣旨のことが書いてあった。

これは、安心していい、という意味に聞こえる。でも、正確には、「その時点で調べた範囲では、見つかっていない」という意味だ。侵入がなかったことの証明では、ない。実際、AmazonがPHPの欠陥の公表より前に、悪用の試みを確認していて、「公表日より前にさかのぼって調べてほしい」と呼びかけている、という報道もあった。

うちの町は、領主の町を借りているので、お店の中のログを、自分で見ることはできない。だから、これは私の宿題として残しておく。

ひとつは、領主に、公表の前にさかのぼった確認をしているのか、聞いてみるかどうかを、大工さんと相談すること。もうひとつは、管理者のパスワードのような、お店の鍵を入れ替える必要があるのかを、大工さんに聞いてみること。必要かどうかは、私には判断できない。だから、専門家に聞く。

うちのお店が、問題なく開いているのは確かだ。少なくとも、表面上は。そこから先は、見えるところが増えたら、また書く。