10月21日の夕方、このサイトを置いているエックスサーバーは、予防のために管理画面を止めました。ニュースには「緊急」「CVSS 9.2」の文字が並び、夜には総理大臣までXで呼びかけています。ですが翌日の夜にWordPressのサイトヘルスを開くと、PHPは8.3.35から修正版の8.3.36に上がっていました。運営者は何も操作していません。直したのは、深夜に作業を続けたサーバー会社のエンジニアたちです。
この記事では、今回のPHPの脆弱性で何が危なかったのかをかみ砕き、その夜に何が起きていたかを振り返ってみます。そのうえで、ここから予想される次の攻撃に、今のうちに打てる手をまとめました。
何が危なかったのか。ログインなしでサーバーを動かされる穴が2つ
PHPは、Webサイトの画面をサーバーの上で組み立てるためのプログラムの言語です。WordPressもPHPで動いていて、サーバー側の言語が分かるサイトのうち69.3%がPHPを使っています(W3Techs、2026年10月22日時点)。
今回見つかったのは、CVE-2026-109618とCVE-2026-109619の2件。深刻度はどちらもCVSS v4.0で9.2と、いちばん重い「緊急」の区分です。欧州連合のCERT-EUは、ログインしていない第三者が外からサーバー上でプログラムを動かせるおそれがあると説明しています。PHPの公式の告知も、Webの要求を受けて動くPHPはすべて危険にさらされるとして、すぐの更新を求めました。
怖さを大きくしたのは、修正版が出る前から攻撃のコードが出回っていたことです(ITmedia NEWS)。セキュリティ会社のwatchTowrは、10月21日の時点で実際の攻撃を観測したと報告しています。PHPの公式は設定で被害を減らす一時しのぎも示しましたが、それは部分的なもので、完全に防げるのは更新だけとしていました。一時的な設定の変更では防ぎきれないため、各社がサーバーを外から切り離した、とMBSニュースは伝えています。
総理が「大至急」と呼びかけた夜
10月21日の午後10時前、高市早苗首相が自身のXで、修正プログラムをすぐ適用できるよう準備してほしいと呼びかけました。「大至急のお願い」と添え、すぐに当てられない場合はWebサイトを一時的に止めることも有効だとしています。国家サイバー統括室も、同じ趣旨の投稿を出しました。
個別のソフトウェアの脆弱性について首相が直接呼びかけるのは異例で、エンジニアからは、経営層にも危険が伝わると評価する声が上がりました(ITmedia NEWS)。首相は翌22日、自身のWebサイトへのアクセスを止めたことを明かし、国家安全保障会議(NSC)を開いて関係閣僚と対応を話し合っています。同じ日の会見で、官房長官は被害の報告は受けていないと述べました(時事通信)。
止めたのは政府だけではありません。京阪・阪急・阪神・南海の関西の私鉄4社は公式サイトを一時停止するかメンテナンスの画面に切りかえ、大阪府は府民向けの検索サービスを止めました(MBSニュース)。運行情報をWebで見られなくなる不便を負ってでも、先に止めることを選んだ形です。
夜通しの修正。朝には全サーバーに当て終えていた
PHPの修正版(8.5.12・8.4.27・8.3.36・8.2.35)は、予告どおり日本時間の21日23時に公開されました。公式の修正版がない古い版のうち7.4〜8.1には、修正のもとになるプログラムも公開されています。
ここからがサーバー会社の出番です。エックスサーバーは、日付が変わった22日の1時すぎには作業の進み具合を知らせ、4時前には8.2〜8.5への適用を進めていました。6時台には、8.2〜8.5を使うすべての対象サーバーで適用が完了。公式の修正版がない古い版には自社で修正を用意し、確かめたものから順に当てています。9時30分には、止めていた管理画面も再開しました。
版ごとに修正を当て、サイトが壊れていないかを確かめ、次へ進む。その作業が、利用者の寝ている時間に積み重ねられていました。このサイトのPHPが運営者の知らないうちに8.3.36になっていたのは、その成果です。さくらインターネットもクラウドのデータベースの管理画面を緊急で止めるなど、各社が深夜から対応に追われました。
PHPのセキュリティチームと、各サーバー会社のエンジニアのみなさん、一晩中の対応、本当にありがとうございました！
次に来そうな攻撃に、今のうちに打てる手
修正が当たって、それで終わりとは考えていません。ここから予想される攻撃は、次の3つだと見ています。
1. 修正の前に仕込まれた「置き土産」
修正は穴をふさぎますが、ふさぐ前に置かれた裏口までは消しません。WordPressなら、管理画面で次の4つを見るだけで、中に変化がないかを確かめられます。
- 管理者のアカウントが増えていないか(ユーザーの一覧)
- 入れた覚えのないプラグインやテーマがないか
- 自分が書きかえていない記事やページが、最近更新されていないか
- ログインの記録に、知らない場所からの成功がないか(セキュリティのプラグインで見られます)
このサイトでは、修正が確かめられるまで記事の投稿と管理画面へのログインを止め、確認できてからこの4つを見ました。管理者は1人のまま、プラグインにも記事にも変化はなく、ログインの成功もいつもの1か所からだけ。止めている間はこちらから何も書きこまないので、変化があればすぐに気づけます。
2. 騒ぎに便乗したフィッシングメール
大きなニュースのあとは、「緊急の更新が必要です」「お支払いに失敗しました」と装ったメールが出やすいと考えています。エックスサーバーは10月18日にも、ドメインの更新の失敗や請求をかたる偽のメールに注意を呼びかけていました。メールのリンクからはログインせず、ブックマークや検索から公式のページを開く。これだけで、リンクから偽のページへ誘う手口はかわせます。
AIのサービスも同じです。PLAUDなら録音や要約はアカウントに保存されるので(PLAUDをなくしたら、録音は消える?)、アカウントのパスワードを守ることが、そのまま記録を守ることになります。
3. 古いPHPのまま残ったサイト
PHPの公式は、8.1以前に番号つきの修正版を出していません。サーバー会社が独自に修正を当てる場合もありますが、古い版はこれからの修正からも外れていきます。サイトヘルスの「情報」→「サーバー」でPHPの版を確かめ、8.1以前なら8.3以上への切りかえを計画しておくと、次の穴にも備えられます(エックスサーバーも8.3以上を推奨)。切りかえの前には、バックアップと、WordPress・テーマ・プラグインの更新を済ませておくのが順番です。
まとめ
今回の脆弱性は、ログインなしでサーバーを動かされうる重いものでした。それでも、サーバーで動く多くのWebサイトが朝にはいつもどおり開けたのは、PHPの開発者と多くのエンジニアの方々が、夜のうちに修正を当て終えてくれたからです。
利用者の側にできるのは、自分のサイトの版を確かめ、中に変化がないかを見て、便乗のメールに乗らないこと。どれも管理画面とメールの扱いだけで済む作業です。深夜に守ってもらったぶん、次の一手はこちらで打っておきたいと考えています。
参考文献
- PHP 公式「News Archive 2026」(予告と、10月21日のセキュリティの告知) https://www.php.net/archive/2026.php （2026年10月21日確認）
- PHP 公式「PHP 8.3.36 Released!」 https://www.php.net/releases/8_3_36.php （2026年10月21日確認）
- CERT-EU「Security Advisory 2026-018」 https://cert.europa.eu/publications/security-advisories/2026-018/ （2026年10月21日確認）
- W3Techs「Usage statistics of PHP for websites」 https://w3techs.com/technologies/details/pl-php （2026年10月22日確認）
- watchTowr「PHP Remote Code Execution FAQ: CVE-2026-109618」 https://watchtowr.com/intelligence/php-cve-2026-109618-faq/ （2026年10月22日確認）
- ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請」 https://www.itmedia.co.jp/news/article/2610/22/2000002483/ （2026年10月22日確認）
- 時事通信「PHP対応、異例の呼び掛け 政府、経済・社会の打撃懸念」 https://news.yahoo.co.jp/articles/0204c4b3cb26a955366a72caccec806b4c485acd （2026年10月22日確認）
- MBSニュース「さくらインターネットや関西私鉄4社、自治体などがwebサービス停止」 https://news.yahoo.co.jp/articles/28bc47a13b015d2d24ef635e5b33b1bde304f519 （2026年10月22日確認）
- THREE D PLUS「エックスサーバーのPHP脆弱性対応（2026年10月）」(エックスサーバーのメンテナンスのお知らせの写し) https://threedplus.co.jp/2026/10/22/xserver-php-vulnerability-user-steps-2026-10/ （2026年10月22日確認）
- Webセキュリティ診断センター「レンタルサーバーのPHP脆弱性対応状況」 https://websec-center.com/blog/rental-server-php2shell-taiou （2026年10月22日確認）
- エックスサーバー公式X「メンテナンス状況について③」 https://x.com/xserverjp/status/2113023623699341814 （2026年10月22日確認）
- エックスサーバー「当サービスを装ったフィッシングメールにご注意ください」 https://www.xserver.ne.jp/news_detail.php?view_id=19702 （2026年10月22日確認）
- エックスサーバー「PHP 8.2〜PHP 8.5 アップデートのお知らせ」 https://www.xserver.ne.jp/news_detail.php?view_id=19632 （2026年10月22日確認）
この記事の内容は2026年10月22日時点のものです。対応の状況は、各社のお知らせで最新のものをご確認ください。
