【サイバーセキュリティ特集】PHPに重大脆弱性2件、高市首相が緊急対応要請、企業サイトへの影響と対策
2026年10月23日 11:01
(日本インタビュ新聞社・編集部)
■世界のウェブサイトを支える基盤ソフトに欠陥、OpenAIのAIも発見に貢献
ウェブサイトの動作を支えるプログラミング言語「PHP」で、第三者による不正なプログラムの実行につながる重大な脆弱性2件が判明した。高市早苗首相は10月21日夜、自身のXでサイト管理者に速やかな対策を呼びかけた。国家サイバー統括室(注意・警戒情報)も同日、公式XでPHPの使用状況を確認し、修正プログラムを速やかに適用するよう注意喚起した。対応が困難な場合には、ウェブサイトの一時停止もリスク低減策になるとの見解を示した。PHPの開発チームは日本時間同日午後11時ごろ、修正済みのプログラムを公開した。2件とも脆弱性の深刻度は共通評価指標「CVSS」で10点満点中9.2とされる。
PHPは、ウェブサイトの裏側にあるサーバーで動き、閲覧者の操作に応じてページを生成する言語だ。ログイン、商品検索、注文受付、予約、会員情報の管理などに活用され、企業サイトや通販サイトのほか、ブログ・記事配信の基盤「WordPress」などでも使われる。W3Techsの10月21日時点の調査では、サーバー側の使用言語を判別できるウェブサイトの69.3%でPHPが使われている。社会のデジタルサービスを広く支える技術だけに、問題の影響範囲は大きい。
■認証なしの遠隔操作、企業・自治体・通販サイトなどに波及する恐れ
今回の2件は、メモリー不足時の処理や内部情報の管理に関連する欠陥で、攻撃者が利用者認証を受けずにサーバー上で任意のプログラムを実行できる恐れがある。悪用されれば、顧客データの流出、サイト内容の改ざん、サービス停止、別のシステムへの侵入などにつながりかねない。PHP本体に原因があるため、サイトの画面が正常でも安全とは判断できない。開発元は特に、ウェブサーバー「Apache」の一部構成で危険性が高いとしている。
影響を確認すべき対象は、PHPを利用するサーバー上のシステムだ。自治体の窓口、病院の予約、会員制サービス、通販、企業の顧客向けサイトなども、該当する構成や未修正版を使用していれば対策が必要となる。情報処理推進機構(IPA)は、ウェブサイト以外にソフトウェア製品やネットワーク機器の内部で使われている可能性にも注意を促している。ただし、PHPを使用しているすべてのサイトが侵害されたわけではない。一般の閲覧者が端末の設定を変更する問題でもなく、中心となる対応は運営・保守側が担う。
■最優先はPHP本体の更新、管理画面の更新だけでは不十分
最優先はPHP本体の更新だ。修正版は8.5系が「8.5.12」、8.4系が「8.4.27」、8.3系が「8.3.36」、8.2系が「8.2.35」。サーバー管理者は稼働版を確認し、提供元の修正パッケージを適用する必要がある。レンタルサーバーや外部委託のサイトは、事業者に適用状況を確認したい。「WordPress」の記事管理画面やプラグインだけを更新しても、PHP本体の欠陥は解消しない。8.1系以前は公式サポートが終了しており、提供元による個別修正の有無を確認し、原則として対応版への移行を進めるべきだ。
更新が直ちにできない場合、外部公開の一時停止などで攻撃を受ける機会を減らす判断が必要になる。防御サービスの設定強化は補助策にはなるが、開発元は修正適用以外に完全な対処法はないとしている。今回、米国のCalifはOpenAIのAIモデル「GPT-5.6 Sol」を使って欠陥の一つを発見し、Wizも独自に2件を報告した。AIが防御側の調査を加速させる一方、攻撃側にも利用される可能性がある。企業には、利用ソフトの把握、更新と動作確認、バックアップ、アクセス記録の点検、緊急時のサービス停止基準を整える継続的な備えが求められる。(情報提供:日本インタビュ新聞社・編集部)