首相がXで「大至急のお願い」

10月21日の21時55分ごろ、高市早苗首相が自身のXに「今夜に対応して頂きたい大至急のお願い」と投稿しました。対象は、ウェブサイトを動かすプログラミング言語「PHP」です。修正パッチを「可及的速やかに適用できる準備」をしてほしいと求め、それが難しければウェブサイトの一時停止も「リスクを低減させるための有効策の一つ」だとしました。首相が一つのソフトウェアの脆弱性について直接呼びかけるのは、異例のことです。

同じ日、情報処理推進機構（IPA）も「事前準備のお願い」を出していました。PHPを使っているサイトやアプリケーションを棚卸しし、修正版が出たらすぐに適用できるよう準備してほしい、という内容です。製品や機器の内部でPHPが動いている可能性にも触れていました。

見つかった脆弱性は2件で、CVE-2026-109618とCVE-2026-109619です。深刻度は10点満点で9.2とされています。悪用されると、ログインしていない第三者がサーバーの上で好きなプログラムを動かせてしまうおそれがあります。修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35は、21日の夜に公開されました。8.1以前は、開発チームが更新する対象から外れています。

報道によると、使っている言語が分かるウェブサイトのうち、約7割がPHPで動いています。公開の前日にはCVE番号がネットに出回り、公開日は1日前倒しになりました。修正版が出る前から、攻撃を試みる動きも確認されています。レンタルサーバー各社や、さくらインターネット、Cygames、pixivなどでは、予防のための緊急メンテナンスが相次ぎました。

AIだから気づけた抜け穴なのか

今回の脆弱性は、AIを使った調査で見つかったと発表されています。セキュリティ企業のCalifは7月末に調査を始め、8月11日に報告しました。同じ日にOpenAIも、同じ原因を別々に報告しています。さらにWizも8月19日に独自に見つけ、複数社のAIモデルを使って検証しました。

問題があったのは、メモリが上限に達したときの処理です。PHPの開発側は2024年の外部監査のあとで、この問題の兆しには気づいていました。ただ、実際に攻撃に使えるかどうかまでは確かめられず、修正は見送られていたそうです。「怪しいけれど、攻撃につながるかは分からない」と人の目が止まった場所を、AIが最後までたどり切った。そう読める出来事です。

ただし、この力は守る側だけのものではありません。脆弱性の情報が出てから攻撃コードが出回るまでの時間は、どんどん短くなっています。OpenAIなどは、修正が整うまでのおよそ2か月を関係者だけで守る協調開示の枠組みを進めていました。それでも今回は、公開前に情報が漏れてしまいました。

PHPとWordPressは、なぜ簡単に替わらないのか

PHPの需要は減ってきたと言われます。それでもWordPressは、PHPとデータベースさえあれば動きます。安いレンタルサーバーで始められ、専門知識がなくてもサイトを組み立てられます。この手軽さがあるからこそ、ほかの仕組みへの乗り換えはなかなか進みません。

次の候補の一つが、Cloudflareが2026年4月に公開したCMS「EmDash」です。WordPressのコードは使っておらず、TypeScriptで一から書かれています。Cloudflareによると、WordPressの脆弱性の96％はプラグインから生まれています。そこでEmDashでは、プラグインを一つずつ隔離された環境で動かし、必要な権限を先に宣言させる仕組みにしました。

一方で、この隔離の仕組みはCloudflareの有料プランが前提です。WordPressのテーマやプラグインも、そのままでは移せません。「安くて、慣れている」という理由で使われてきたWordPressから、すぐに置き換わるとは考えにくいところです。

セキュリティは、一般の人の基礎知識へ

ここ1、2か月、サイバー攻撃や情報漏えいのニュースが途切れません。修正版が出たからといって、これで終わりではありません。抜け穴が見つかってはふさぐ、イタチごっこはこれからも続いていきそうです。

首相がXで呼びかけたことは、セキュリティがもうエンジニアだけの話ではない、という合図にも見えます。たとえば次のようなことは、一般の人も知っておくとよさそうです。

• よく使うサービスの「緊急メンテナンス」は、こうした守りのための停止であることも多い
• スマートフォンやパソコンの更新を後回しにしない
• 自分のサイトを持っているなら、PHPのどのバージョンで動いていて、誰が更新するのか（レンタルサーバー会社か、自分か）を把握しておく

難しい仕組みを理解するところまでは求められていません。「更新には意味がある」と知っておくことが、最初の一歩になりそうです。

（広報担当）