トップ ＞ テクノロジー

高市首相、PHPの重大脆弱性でパッチ適用をSNSで異例の要請

内容

PHPに見つかった脆弱性

Webサイトの構築に広く使われるプログラミング言語PHPに、「緊急」レベルの脆弱性が2件見つかりました。識別番号はCVE-2026-109618とCVE-2026-109619で、「php2shell」とも呼ばれています。2件とも、ログインなどの認証を経ずに、外部から任意のプログラムを実行される恐れがあるものです。WordPressも対象になると報じられています。1件はAIを使って発見されたと伝えられています。

修正版の公開と攻撃の状況

PHPの開発プロジェクトは、日本時間10月21日午後11時ごろから、8.5.12など4系統の修正版を公開しました。ただ、修正版の公開前に脆弱性の情報がネット上に流出しており、識別番号の流出を受けて公開が前倒しされたとも報じられています。攻撃の手順を示すPoC（概念実証コード）も出回り、修正版の公開前から攻撃を試みる動きが観測されていました。

国内では、ネットショップ作成サービスや人気のスマートフォン向けゲーム、保育園向けのサービスなど、大手から中小まで幅広いサービスが緊急メンテナンスに入りました。影響範囲を「世界の7割」とする報道もありますが、実際の被害の全体像は現時点で明らかになっていません。

首相が異例の呼びかけ

高市首相は21日午後10時前、自身のSNSアカウントで「今夜に対応して頂きたい大至急のお願い」として、修正パッチをできるだけ早く適用できるよう準備することを求めました。修正版が公開される約1時間前のことです。首相が特定のソフトウェアの脆弱性について直接対応を呼びかけるのは異例です。国家サイバー統括室も同じ内容をSNSで発信していました。

首相が自ら発信した理由について、本人の説明は報じられていません。報道では、システムを止めると業務に影響が出るため、パッチの適用が後回しにされることがあると指摘されており、エンジニアからは「経営層にもリスクが認知される」と一定の評価が出ています。

企業や利用者がすべきこと

PHPを使ったWebサイトやサービスを運営する企業は、修正版をすぐに適用することが求められています。首相は、すぐの適用が難しい場合には、Webサイトなどを一時的に止めることもリスクを減らす有効な手段の一つだと述べています。サービスを利用するだけの一般の人に向けた具体的な対応は、現時点で示されていません。

注目ポイント

修正版の公開前に攻撃コードが出回るという、対応が時間との勝負になった点が関心を集めています。首相がサイトの一時停止にまで踏み込んだことで、停止の判断をためらいがちな企業の背中を押すかどうかも焦点です。また、AIが脆弱性の発見に関わったことから、今後同じような事態が増えるのかにも目が向けられています。

ネットでの反応

SNSでは、事態の深刻さが伝わりやすく、エンジニア以外とも危機感を共有できたと好意的に受け止める声が多く見られます。サーバーを止めるきっかけになったと前向きにとらえる意見もあります。一方で、首相の投稿を見て初めて危険を知るような経営陣では手遅れではないか、担当の大臣や省庁が会見すれば足りたのではないかといった疑問の声も上がっています。報道は「経営層に伝わる」点を評価として取り上げましたが、パッチ適用はもともと現場の担当部署の仕事で経営層は関係ないのでは、という受け止めもあり、評価の軸にずれが見られます。深夜に対応する担当者へのねぎらいがなかったことを指摘する声もあります。

参考記事

• 高市総理「大至急、PHPパッチ適用を」Xで異例の要請 エンジニアは評価「経営層に伝わる」(2/2 ページ)ITmedia　2026年10月22日 06:31
• 高市総理「大至急、PHPパッチ適用を」Xで異例の要請 エンジニアは評価「経営層に伝わる」　2026年10月22日 07:16

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。