名古屋でAIシステムの開発をしている小嶋です。当社はPHPでたくさんのシステムを作っているので、10月21日に修正版が出たPHPの脆弱性「PHP2Shell」（CVE-2026-109618・CVE-2026-109619）は自分ごととして追ってきました。その流れで、国民民主党の玉木雄一郎代表が10月30日に投稿した一文と、10月31日に出された補足を読み、考えたことをまとめます。
2つの出来事を、先に分けておく
この記事には、別々の2つの出来事が出てきます。混ぜると話がずれるので、先に分けます。
出来事A：PHP2Shell。PHPそのもの（プログラムを動かす実行環境）に、ログインなしで外からサーバー上の任意のプログラムを動かされる穴が見つかった件です。10月20日にPHPの開発チームが「重大な脆弱性2件の修正版を21日23時（日本時間）に出す」と事前告知し、同じ日に詳細がSNSに漏れました。10月21日21時55分に高市総理がXで「大至急のお願い」を投稿し（表示1億回超）、23時に修正版（8.2.35・8.3.36・8.4.27・8.5.12）が公開されました。auじぶん銀行などがサイトを一時停止し、10月22日にはバイナンス共同創業者のCZ氏もXでPHPの脆弱性に注意を呼びかけました。
出来事B：バイナンスの不正流出。10月30日朝（日本時間）、暗号資産取引所バイナンスから、推定63億ドル（約9,900億円）の暗号資産が不正に出金されました。バイナンスの初期調査では、開発運用（DevOps）担当エンジニアのノートPCが侵害され、攻撃者がそこからサービスコンテナに入り込んで不正な出金取引を送った可能性が高い、とされています。ウォレットの秘密鍵が漏えいした痕跡は見つかっておらず、損失はユーザー保護基金（SAFU）と自社資金で全額補償するとしています（10月30日付のバイナンスの声明、Impress Watch・CoinPostの報道）。
出来事Bが出来事AのPHP2Shellによって起きたという情報は、バイナンスの声明にも報道にもありません。玉木代表の補足も「今回の事案がPHPの脆弱性に起因するという意味でもありません」と書いています。
玉木代表の投稿と補足
10月30日16時20分、玉木代表は出来事Bについて、Xにこう書きました。
バイナンスはPHPを使わないシステムで、セキュリティにも相当力を入れていたと聞いていたので驚きだ。
この一文に、エンジニアやセキュリティの専門家から多くの指摘が集まりました。翌10月31日7時40分、玉木代表は補足を出し、「PHPを使っていないことがセキュリティの高さを意味するわけではなく、また、今回の事案がPHPの脆弱性に起因するという意味でもありません」と書いています。伝えたかったのは「セキュリティに相当の投資をしている事業者でも、サイバー攻撃のリスクは完全には消せない」ということだった、という説明です。
元の文は「言葉足らず」というより、前提がずれていた
元の文は、「PHPを使わない」と「セキュリティに力を入れていた」を、バイナンスが安全だと思っていた理由として並べています。素直に読むと、PHPを使っていないことも安全の理由に数えている文です。
これは玉木代表だけの話ではないと思います。10月20日から22日のあいだに、修正版より先に詳細が漏れ、総理が深夜の更新を呼びかけ、銀行がサイトを止め、暗号資産取引所の創業者が注意を呼びかけました。これだけ続けば、エンジニアでない多くの人に「PHPは危ない」という印象が残るのは自然です。玉木代表も、CZ氏の10月22日の投稿やバイナンス関係者の説明を通じて、その印象を持っていたのだと思います。
ただ、それを踏まえると、補足で「説明が不十分だった」とまとめるのは、少しやわらかい言い方に聞こえます。実際には「PHPを使わない＝安全、という認識がずれていた」という訂正だと受け取りました。
補足でよかったところ
一方で、補足の中身はきちんとしていました。
- 「誤解を招く表現であり」「補足・訂正します」と、訂正であることをはっきり書いている
- バイナンスの件がPHPの脆弱性によるものではない、と因果をはっきり否定している。PHPでサイトを動かしている多くの会社への風評を止めるうえで、これは大事です
- 言語の話から、設計・開発・運用の全体で守る（DevSecOps）という正しい方向に話を移している
- 「この投稿にも間違いがあれば教えてください」と、指摘を受け止める姿勢を示している
政治家の訂正として、ここまで書くのは誠実なほうだと思います。
「PHPを使わない＝安全」が、なぜ違うのか
バイナンスで狙われたのは、Webの言語ではなく「鍵に届く経路」だった
バイナンスの初期調査が言っているのは、「エンジニアのノートPCが侵害され、そこからサービスコンテナに入られ、不正な出金取引を送られた」です。入口は社員の端末で、通った道は社内のシステム、最後に動かされたのは出金の仕組みです。公開Webサイトを何の言語で書いているかは、この経路のどこにも出てきません。
これは取引所の流出に共通する形です。2018年1月のコインチェック（約580億円のNEM）は、社員の端末がマルウェアに感染し、ホットウォレットの秘密鍵を取られました。2024年5月のDMMビットコイン（約482億円のビットコイン）は、委託先の社員が偽の採用担当者にだまされて不正なプログラムを実行し、送金の仕組みを操作されました。2025年2月のBybit（約15億ドル）は、ウォレットサービスの開発者の端末が侵害され、署名画面を差し替えられました。どれも「人の端末」から「鍵や署名に届く経路」をたどっています。
つまり、取引所の守りの強さを測るなら、見るべきは「社員の端末が侵害されたとき、そこから鍵や出金に届かない設計になっているか」です。「PHPを使っていない」は、物差しとして見る場所が違っていました。
PHP2Shellで差がついたのは、言語ではなく「10月21日23時のあとに何をしたか」
出来事AのPHP2Shellは、たしかにPHPそのものの穴でした。ですから、PHP2Shellについて「PHPは関係ない」と言うのは正しくありません。ただし、PHPを使っていた会社のあいだで安全と危険を分けたのは、言語ではありません。次の3つです。
1. 穴が開いていた時間。修正版が出た10月21日23時から、自分のサーバーに8.2.35・8.3.36・8.4.27・8.5.12のどれかを入れるまでの時間です。詳細は10月20日に漏れていたので、23時のうちに更新したサーバーと、翌朝まで、あるいは今も古いままのサーバーで、攻撃を受ける時間の長さがまるで違います。同じPHPを使っていても、ここで分かれました。誰がいつ更新する体制かの差です。
2. 入られたあとに届く範囲。Webサーバーを乗っ取られたとき、そこから顧客のデータベースや社内のシステムに経路があるかです。Webサーバーに置いてあるのがホームページの表示だけで、ほかへ行く道がなければ、穴があっても被害は小さく済みます。逆にWebサーバーから社内へつながっていれば、言語が何であっても一か所の穴が全部に広がります（PHPの脆弱性でWebサイトに不正アクセスされても、社内の情報漏えいは起きないのかに書きました）。バイナンスの件は、まさにこの「届く範囲」が社員の端末から出金まで通っていた例です。
3. 気づけるか。アクセスログを見ているか、ふだんと違う動きを検知できるかです。当社は10月21日からの自社サーバーのログで、PHP2Shellを狙う攻撃の動きを数えました（高市総理の「大至急のお願い」は攻撃者にも届いたのか）。見ていなければ、穴をふさいだあとも、先に入られた分はそのまま残ります。
どの言語にも穴はある。PHPが目立つのは数が多いから
外から任意のプログラムを動かされる種類の脆弱性は、PHPだけのものではありません。Javaは2021年12月のLog4Shell（CVE-2021-44228）、Rubyは2013年1月のRuby on RailsのYAML処理（CVE-2013-0156）、Pythonは標準ライブラリのpickleによる任意コード実行、Node.jsはライブラリの依存関係を通じた侵害が、それぞれ記録されています。PHPが目立つのは、W3Techsの調査でサーバー側の言語が分かるWebサイトの7割以上がPHPで動いていて、攻撃する側から見て一番数の多い的だからです。弱いからではなく、多いからです。
影響力のある人の注意喚起は大事。ただし技術の評価までは踏み込まない
影響力のある人が、エンジニアでなくてもセキュリティの注意を呼びかけること自体は悪くありません。10月21日21時55分の高市総理の投稿は、ふだんセキュリティの情報が届かない人にまで「今夜、更新してください」と1億回の表示で届けました。
難しいのは、そこに「どの言語が安全か」「どのシステムが強いか」といった技術の評価が入るときです。上に書いたとおり、取引所の安全は社員の端末から鍵までの経路で決まり、PHP2Shellの被害は更新の時間・届く範囲・気づく仕組みで決まります。言語の名前は、どちらの物差しにも入っていません。影響力のある人の一言は、正しくても間違っていても大きく広がるので、技術の評価が一言混ざるだけで、専門家から違和感が出るのは当然です。
なので、技術に詳しくない立場からの発信は、次の範囲にとどめるのがよいと考えます。
- 何が起きたか（公的機関や事業者の発表にある事実。バイナンスなら「エンジニアのノートPCが侵害された可能性が高い」まで）
- 何をすればよいか（更新する、確認する、専門家に聞く）
- 「どの言語が安全か」「どの会社の守りが強いか」の判断は、専門家の説明に任せる
「PHPを使っていないから安全」と受け取られると、逆に「うちはPHPだから危ない」「PHPでなければ大丈夫」と考えて、肝心の更新や点検がおろそかになるおそれがあります。中小企業のホームページの多くはPHPで動いています。怖いのは言語ではなく、10月21日23時の修正版を入れないまま放っておかれることです。
PHPの脆弱性について、当社で書いた記事
PHPの脆弱性「PHP2Shell」と、相次ぐ情報漏洩は関係あるのか https://exbridge.jp/vibeblog/2026-10-24-php2shell-joho-roei-team-mirai.html#ref=vibeblog-tamaki-php
PHPの脆弱性、高市総理の「大至急のお願い」は攻撃者にも届いたのか https://exbridge.jp/vibeblog/2026-10-25-php-zeijakusei-takaichi-shuchi-kougekisha.html#ref=vibeblog-tamaki-php
PHPの脆弱性でWebサイトに不正アクセスされても、社内の情報漏えいは起きないのか https://exbridge.jp/vibeblog/2026-10-26-php2shell-fusei-access-shanai-joho-roei.html#ref=vibeblog-tamaki-php
中小企業21社のホームページを、SEO・AEO・GEOと安全面で診断して分かったこと https://exbridge.jp/vibeblog/2026-10-24-homepage-shukyaku-security-21sha.html#ref=vibeblog-tamaki-php
よくある質問
バイナンスの不正流出はPHPの脆弱性が原因か？
今回の事案がPHPの脆弱性に起因するという事実はありません。
影響力のある人がセキュリティを発信する際の注意点は？
技術の良し悪しの判断には踏み込まず、事実や必要な対応を伝えるにとどめるのがよいと考えられます。
システムの安全性を高めるために重要なことは何か？
言語の選択よりも、更新を怠らずに点検を行うことが重要です。更新されないまま放置されることがリスクとなります。
