名古屋でAIシステムの開発をしている小嶋です。10月21日に、PHPの重大な脆弱性「PHP2Shell」が公開されました。同じころ、チームみらいが「AIサイバー対策緊急提言」をデジタル大臣に出し、その会見でもPHPの件が話題になりました。
ちょうど情報漏洩のニュースが続いている時期なので、「最近の漏洩はPHPのせいなのか」と思った方もいると思います。そこで、公表されている漏洩の原因を並べて確かめました。あわせて、提言の要点と、当社のサイトで実際に確かめて更新したことをまとめます。
結論：今回のPHPの脆弱性と、最近の情報漏洩は関係していない
10月24日の時点で、PHP2Shellが原因だと公表された情報漏洩は1件もありません。
9〜10月に公表された漏洩事案の原因を、まとめサイトの一覧で並べると、次のように分かれます。
- 委託先や取引先を経由したもの：委託先のアカウントが盗まれた、委託先のPCがマルウェアに感染した、など
- 盗まれた認証情報：開発用クラウドのパスワードや、フィッシングで取られた社員のアカウント
- ランサムウェア：データセンターや大学、鉄道会社のグループなど
- VPN機器の脆弱性
- 中身を伏せた「サイトの脆弱性」
この中に、PHPの名前が出てくる事案はありませんでした。そもそも、9〜10月の漏洩の多くはPHP2Shellの公開（10月21日）より前に起きています。
ただし、「サイトの脆弱性」とだけ書いて中身を明かしていない事案も多いので、PHPが全く関係なかったとまでは言い切れません。言えるのは、「最近の漏洩の原因としてPHP2Shellが挙がった例は、今のところ無い」ということです。
PHP2Shellとは何か
PHPは、世界のウェブサイトの約7割を動かしているプログラミング言語です。WordPressもPHPで動いています。
10月21日に公開された2件の脆弱性（CVE-2026-109618、CVE-2026-109619）は、まとめて「PHP2Shell」と呼ばれています。悪用されると、外から好きなプログラムをサーバーで動かされます。深刻度は10点中9.2です。
- 対象：PHP 5.4〜8.5のほぼすべて
- 修正版：8.2.35、8.3.36、8.4.27、8.5.12（10月21日公開）
- 修正が出ない版：7.4、8.0、8.1は公式の修正版がなく、7.3以前は修正そのものがありません。新しい版に上げるしかありません。
- 攻撃の状況：公開の前日に情報がSNSに漏れ、21日から攻撃の試みが観測されています。17日の試みを観測したという報告もあります。
見つけたのはAIでした。米国のセキュリティ会社がAIを使って見つけたと発表しています。使ったAIや見つけた会社については、報道によって書き方が違います。脆弱なコードは10年以上前からあったそうです。AIが変えたのは、穴を見つけ、実際に動く攻撃の手順にするまでの速さでした。
PHPの脆弱性が侵入口になった例は、過去にある
今回は関係していませんが、PHPの脆弱性が企業への侵入口になった例はあります。
2024年に見つかったPHP-CGIの脆弱性（CVE-2024-4577）は、2025年1月ごろから日本の企業への攻撃に使われました。対象は、技術・通信・エンターテインメント・教育・ECなどの業種です。攻撃者はこの穴から入り込み、遠隔操作のツールを入れ、権限を奪い、社内のほかのパソコンへ広がって、認証情報を盗んでいました。同じ脆弱性は、ランサムウェアにも使われています。
PHPの穴から入られ、情報を盗まれる流れは、実際に起きています。PHP2Shellも影響の範囲は同じくらい広いので、これから漏洩につながる可能性は十分にあります。「今は関係ない」は、「放っておいてよい」という意味ではありません。
チームみらい「AIサイバー対策緊急提言」の要点
10月23日、チームみらいの安野貴博党首と高山聡史国会対策委員長が、デジタル庁で古川俊治デジタル大臣に提言を手渡しました。副題は「AIにはAIを」で守りを固める、です。
提言をまとめる前に、AIによる匿名インタビューを行っています。情報漏洩を経験した人や不安を感じている人に1,272件、セキュリティの専門家や事業者に290件です。専門家へのインタビューも15件行っています。
提言は7本の柱でできています。
- 国の防御力を上げる：防御にAIを使える体制（最先端のAIを使える権利の確保、国産のセキュリティAIの開発支援）。国の機関のセキュリティ人材を、報酬と働き方を見直して増やす。
- 攻撃の実態をつかむ：国が原因を調べる「サイバー版事故調査委員会」を作る。国の注意喚起を一本化し、企業がAIで自動点検できる形のチェック項目で出す。
- 大規模な攻撃のときに国が動ける仕組み：大規模なサイバー攻撃を法律の上ではっきり位置づける。期間を区切って、国が事業者に措置を指示したり、専門家を派遣したりできるようにする。
- ソフトやクラウドの提供会社に安全の責任を求める：まず政府調達の要件にする。重要なシステムは、導入前の審査と、部品・委託先・権限の記録をルールにする。
- 企業が弱点を直し続けるように促す：中小企業が無償で脆弱性診断を受けられるようにし、AIで直すための「補助トークン」を配る。セキュリティに投資する企業を税制などで優遇する。多要素認証と脆弱性検査の義務化。上場企業にCISO（最高情報セキュリティ責任者）を置くよう求める。重い過失で漏洩させたら課徴金の対象にする。
- 個人情報を必要以上に持たない：本人確認はマイナンバーカードを標準にし、「18歳以上か」のような必要な事実だけを伝える形にする。保存の必要がない本人確認書類の画像は消すよう促す。
- 漏洩した人を支える：消費者ホットライン188の相談体制の強化。新しい借り入れを止める「信用凍結」の制度を無償で作ることの検討。集団訴訟の制度の検討。
会見では、すぐに効く対策として「注意喚起の一本化」が挙げられていました。今年の初めに、8つの機関が3日の間にばらばらに注意喚起を出し、企業は何を優先すればよいか分からなかった、という話です。お金をかけずにすぐできる、という点で納得しました。
大臣が「特にやりたい」と答えたのは、セキュリティ人材の報酬と働き方（民間と10倍の差がある例もあり、リモート勤務を認めるだけでも人が集まる）と、必要な事実だけを伝えるマイナンバーの認証だったそうです。
PHPの件について記者に聞かれ、安野党首は「PHPに限らず、ほかの言語でも大きな脆弱性が見つかり始めている。AIが穴を見つける力が上がるほど危険は増す」と答えています。PHPは、漏洩の原因としてではなく、「AIで脆弱性の発見が加速している」例として挙げられていました。この点も、上で確かめた結論と合っています。
当社のサイトで確かめて、更新したこと
人ごとではないので、当社が運営しているサイトがどの版のPHPで動いているかを、すべて確かめました。
ほとんどのサイトは、レンタルサーバーの会社がすでに修正版（8.2.35、8.3.36）に更新してくれていました。ところが、一部の古いページだけ、修正の出ない古い版で動いていました。そこで、修正版の8.3に切り替えました。
ここで一つ、落とし穴がありました。このレンタルサーバーでは、PHPの版の指定の書き方によって、PHPが動くときのユーザーが変わります。
- ある書き方だと、PHPがサーバー共通のユーザーで動き、自分のファイルを読み書きできない
- 別の書き方だと、PHPがファイルの持ち主として動き、今までどおり読み書きできる
実は少し前にも8に上げようとして、アクセス記録が止まって元に戻したことがありました。原因が分からないままになっていたのですが、今回、小さなテスト用のファイルを置いて、PHPがどのユーザーで動いているかを実際に測り、原因が分かりました。持ち主として動く書き方で切り替え、PHPのページ23か所の応答を切り替える前と後で比べ、記録やログインが動いていることまで確かめました。
PHPの版を上げるときは、「ページが表示される」だけで安心しないでください。ファイルへの書き込み（アクセス記録、問い合わせの保存、ログイン）まで動いているかを確かめるのが大事です。
中小企業がいま確かめること
- 自社のサイトのPHPの版：レンタルサーバーの管理画面か、サーバー会社のお知らせで確かめます。8.2.35、8.3.36、8.4.27、8.5.12より古ければ、更新が必要です。
- 古い版を指定していないか：互換性のために、古い版をわざと指定しているサイトは珍しくありません。7.4以前は修正が出ないので、新しい版に上げるしかありません。
- WordPressなら、テーマとプラグインも：PHPを上げると動かなくなるプラグインがあります。上げたあとに、問い合わせフォームやログインまで試してください。
- 自社サーバーやVPSなら、自分で更新：レンタルサーバーと違い、誰も代わりに更新してくれません。更新したあとにPHPを再起動するまでが作業です。
よくある質問
最近の情報漏洩は、PHPの脆弱性が原因ですか
10月24日の時点で、PHP2Shellが原因と公表された漏洩はありません。9〜10月に公表された漏洩の原因は、委託先経由、盗まれた認証情報、ランサムウェア、VPN機器などでした。ただし、原因の中身を伏せた事案もあるので、PHPが全く無関係とまでは言い切れません。
レンタルサーバーのサイトも対策が必要ですか
サーバー会社がPHPを更新してくれる場合が多いですが、古い版を自分で指定しているサイトは、その版のまま動き続けます。7.4以前を指定していると修正が出ないので、新しい版に切り替える必要があります。
PHPの版を上げると、サイトが壊れませんか
古い書き方のプログラムやプラグインが動かなくなることはあります。上げたあとに、ページが表示されるかだけでなく、問い合わせフォーム、ログイン、アクセス記録など、ファイルに書き込む機能まで動いているかを確かめてください。
チームみらいの提言で、中小企業に関係するものはどれですか
提言5の「中小企業が無償で脆弱性診断を受けられる仕組み」と「AIで直すための補助トークン」、それにセキュリティへ投資した企業の税制での優遇です。まだ提言の段階で、実現するかは今後の国会や政府の検討しだいです。
当社では、社内の業務システムやホームページの点検・作り直しを、AIを使って短い時間で進める「AI-IT顧問」をしています。PHPの版の確認と更新のような作業も、その中でお手伝いしています。
AI-IT顧問 https://exbridge.jp/ai-it-komon.html#ref=vibeblog-php2shell
