2026.10.24
前回の記事「日本のセキュリティは世界最悪」らしい。うん、現場を見てると否定できないのパート2です。
今回は、10月21日の夜から始まったPHPの脆弱性騒動について、当サイトの対応と、クライアント先の現場で見えたことを報告します。
10月21日、PHPに深刻な脆弱性が2件見つかり、緊急のセキュリティ修正版が公開されました。2つを組み合わせた攻撃は「PHP2shell」と呼ばれ、悪用されると、外部の第三者がサーバー上で好きなプログラムを動かせてしまうおそれがあります。
PHPは、WordPressをはじめ、多くのホームページやECサイトを裏側で動かしているプログラミング言語です。自社のサイトがPHPで動いていれば、無関係ではいられません。
IPA（情報処理推進機構）も22日に注意喚起を出し、修正版（8.4系なら8.4.27以降）への更新を呼びかけています（出典）。
22日の早朝、緊急性の高いメールに気づき、朝5時半から対応を始めました。
まずは状況の確認です。当サイトのPHPのバージョンを確認したところ、レンタルサーバー側で修正プログラムが適用済みであることを確認できました。
続いて、私が運用している他のサイトも確認し、PHP 8.2で動いていたものは8.4へ引き上げました。
ここで迷ったのが、バージョン番号です。公式の修正版は8.4.27と発表されているのに、サーバーの管理画面では8.4.26が最新のまま、なかなか8.4.27に上がらない。原因を追いかけていたところ、レンタルサーバー側で8.4.26にも修正が当てられていることが分かりました。
早朝ということもあり、このあたりの情報はかなり錯綜していて、的確な情報になかなかたどり着けませんでした。
そして8時を過ぎると、アクセスが集中したのか、レンタルサーバーの管理画面にそもそも入れない状態に。当サイトと私が運営するサイトの対応は、ここで一区切りとしました。
ここから、クライアント先のECサイトやWordPressの確認作業に入りました。そこで強く感じたのが、企業ごとの温度差です。
重大な問題と受け止めて、対応に追われる企業がある。その一方で、ある意味まったくの無関心という企業や団体もありました。
「そもそもPHPって何のこと？」という返答があった企業様もありました。あれだけテレビやニュースで取り上げられていたのに、情報がまったく届いていなかったんです。
「日本のセキュリティは世界最悪」と言われるゆえんを感じる場面を、この2日間で何度も体験しました。無知・無関心な人が、本当に多い。しかもその方々が、サイトの運営に携わっている。そんな現場を見て、大きく嘆いた一日でした。
特に気になったのが、地方のシステム会社や、ホームページを運営している企業・団体です。
大都市や大企業では、今回の件でセキュリティへの関心がかなり高まったように見えます。「メンテナンス中」の表示を出して対応しているサイトを多く見かけましたし、レンタルサーバーや銀行系の管理画面にアクセスが集中して入れない、ということも起きていました。それだけ多くの人が一斉に動いた、ということでもあります。
その傍らで、運営者として失格だと言わざるを得ない企業や団体もありました。私が体験したこの2日間を振り返ると、とても「大丈夫」とは言い切れません。
今回、私はAIを駆使して、PHPとその周辺のシステムについて多くの情報を短時間で集めることができました。スピードが求められる場面で、AIエージェントは本当に頼りになります。
一方で、攻撃する側もAIを使ってると言われています。悪さをするのもAI、それを防ぐのもAI。今のAIをめぐる状況の縮図を見たような瞬間でした。
騒動は少し落ち着いてきました。ただ、今朝も、私が担当しているクライアント先のECサイトが、また「システムメンテナンス中」の画面に戻ってしまいました。
原因はまだ分かっていません。緊急対応にあたっていたシステム会社に連絡して、元に戻してもらいました。まったく油断ならない世界になってきたなあ、と感じています。
今回の騒動を、ぜひ見直しのきっかけにしてほしいと思います。まずは、次の3つに答えられるか確認してみてください。
セキュリティに強い日本をつくっていかなければならない。そう強く感じた2日間の報告でした。
