10月21日23時の「PHP騒ぎ」って、
つまり何が起きたの？
首相まで X で呼びかけた脆弱性「php2shell」を、厨房のたとえと図でやさしく解説します。
この記事は 2026年10月22日時点の情報です10月21日の夜、X のタイムラインが「PHP」「23時」「パッチ」という言葉で埋まりました。首相まで注意を呼びかけたこの騒ぎ、結局なにが起きていたのか。プログラミングを知らない人にも分かるように、たとえ話と図でまとめてみました。
- 世界中のサイトで動く「PHP」に、外から乗っ取られる恐れのある大きな穴が2つ見つかった
- 穴の情報が先に漏れたため、修正版は予定より少し早い21日22時40分ごろに公開された
- 見るだけの人は基本なにもしなくていい。PHP でサイトを動かしている人は今すぐ更新を
何が起きたの？ 時系列でおさらい
- PHP の開発チームが「重大な修正を近く出す」と予告。本来は修正版と同時に公表されるはずだった穴の詳しい情報が、先に外へ漏れてしまったと海外で報じられました。
- 国家サイバー統括室が X で注意を呼びかけ。同じ日に IPA（情報処理推進機構）も「PHP を使っているものを洗い出して、すぐ更新できるよう準備を」と呼びかけました。
- レンタルサーバー大手のエックスサーバーが、自社の公式サイトと管理画面を予防のために一時停止すると告知。お客さんのサイトやメールには影響しないとしていました。
- 高市早苗首相が X で、公開しているサイトで PHP を使っているか確認し、修正をすぐ当てられるよう準備するよう呼びかけました。
- 予告の23時より少し早く、PHP の修正版（8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35）が公開されました。
同じころ、ウェブの配送網を運営する Cloudflare は、無料プランを含むすべての利用者に向けて、知られている攻撃を止めるルールを追加しました。ただし同社自身が「一時しのぎで、本当の対策は PHP の更新」だと強調しています。
そもそも PHP ってなに？
PHP は、ウェブサイトの裏側で動いているプログラミング言語です。ブログの WordPress をはじめ、ネットショップや会員サイトなど、たくさんのサイトが PHP で動いています。調査サイトの W3Techs によると、裏側の言語が分かっているサイトのうち約69％が PHPです（2026年10月21日時点）。
レストランにたとえると分かりやすいです。お客さん（あなたのブラウザ）が「このページをください」と注文すると、厨房のシェフ（PHP）がその場でページという料理を作って出してくれる。ログインしている人の名前が出たり、最新の記事が並んだりするのは、注文のたびにシェフが作っているからです。
どんな穴だったの？
見つかった穴は2つで、どちらも「後片付け」に関係するものでした。
シェフは、注文を1つ作り終えるたびに調理台を片付けます。ところが、ある条件で片付けが中途半端なまま止まり、前の注文の材料が台の上に残ってしまうことがありました。次の注文を作るとき、シェフはその残りものを、うっかりそのまま使ってしまう。
悪いお客さんがこの性質を狙って、わざと変わった注文を出すとどうなるか。残りものに細工をして、厨房で好きな命令を実行させる、つまりサーバーを乗っ取れてしまう可能性がありました。
この穴が特に怖かったのは、次の3点です。
- ログインしなくても狙える：サイトの会員でなくても、外から攻撃できる。
- 深刻度は10点満点で9.2：脆弱性の深刻さを表す CVSS という物差しで、2つとも9.2。
- ふつうの設定でも起きうる：特別な使い方をしていなくても該当しうる。PHP 公式は、Apache というソフトで PHP を動かす「mod_php」という構成が最も危険だとしています。
技術的な名前でいうと、CVE-2026-109618（メモリ不足の処理が途中で止まり、中途半端なデータが正しいものとして扱われる）と、CVE-2026-109619（解放したはずの状態が残り、次の処理で使われる）の2つです。
なぜ「23時」がそんなに大事だったの？
修正版が出ると、何をどう直したかを誰でも見られるようになります。これは裏を返すと、「ここに穴があった」という地図を配るのと同じです。そのため修正版の公開直後は攻撃が一気に増えやすく、守る側はできるだけ早く修正を当てる必要があります。
今回は、その地図にあたる情報が公開前に漏れてしまいました。だから開発チームは予定を前倒しし、海外では「すでに悪用が始まっている」という報道も出ました。一方で IPA は、21日に注意を出した時点では、実際の攻撃は確認していないとしていました。情報が入り乱れるなか、守る側が「23時の公開に間に合わせる」ために総出で準備していた。あの夜のタイムラインの熱気は、そういうことだったんです。
自分に関係ある？
立場によって、やることがまったく違います。
- サイトやアプリを見るだけの人基本的に何もしなくて大丈夫。使っているサービスから「メンテナンス」「パスワード変更」などのお知らせが来たら、それに従いましょう。
- Shopify・BASE・STORES・Wix などでお店やサイトを持っている人サーバーの更新はサービス側の仕事です。お知らせだけ確認しておけば大丈夫。
- レンタルサーバーで WordPress などを動かしている人サーバー会社の案内を確認。管理画面の「PHP バージョン」の設定を見て、更新が必要か確かめましょう。
- 自分でサーバーを管理している人・開発者今すぐ 8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35 のどれかへ更新。PHP 8.1 以前は公式の更新が終わっているので、OS やベンダーの修正版を使うか、新しいバージョンへ移行を。
すぐに更新できないときの設定変更も公式に案内されていますが、PHP 公式は「攻撃の道を減らすだけで、安全になるわけではない」とはっきり書いています。設定値は自己流にせず、PHP 公式の告知をそのまま確認してください。
また、PHP 8.2 のサポートは 2026年12月31日で終わります。8.2 を使っている人は、この機会に移行の計画も立てておくと安心です。
うちのサイトが今回無事だった理由
この USUI LAB は、今回の件とは無関係でした。理由はシンプルで、PHP を使っていないからです。
レストランのたとえでいうと、うちは「作り置きを並べている店」です。ページはあらかじめ完成した状態で置いてあって、注文が来たらそのまま渡すだけ。こういうサイトを静的サイトといいます。厨房のシェフがいないので、シェフの後片付けの穴も関係ありません。
ただ、作り置きの店のほうが何でも上、という話ではありません。ログインや買い物、記事の予約投稿のように「注文ごとに作る」必要がある機能は、静的サイトだけでは作れません。大事なのは、自分のサイトがどちらの店なのかを知っておくことです。
まとめ
- PHP に、外から乗っ取られる恐れのある大きな穴が2つ見つかり、10月21日22時40分ごろに修正版が出た
- 穴の情報が先に漏れたため、守る側は時間との勝負になった
- 見るだけの人は基本なにもしなくていい。PHP を動かしている人は今すぐ更新を
状況はこれからも変わる可能性があります。最新の情報は、PHP 公式と IPA の発表で確認してください。
出典・参考にした情報
- PHP 公式サイト（2026年10月21日のセキュリティリリースの告知）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
- GMO Flatt Security Blog「PHPの重大な脆弱性「php2shell」の概要と対応指針」
- BankInfoSecurity「Attackers Exploit Leaked Zero-Day Flaws in Widely Used PHP」（英語）
- 株式会社ウェステリア「PHPの緊急脆弱性(2026年10月21日)」（エックスサーバーの一時停止告知の整理）
- Togetter（国家サイバー統括室・首相などの投稿のまとめ）
- W3Techs「Usage statistics of PHP」（英語）
いずれも 2026年10月22日に確認しました。下書きや図づくりには AI を使っていますが、事実関係は上の公式発表と報道で自分で確かめてから公開しています。
ウスイ福岡で個人開発をしています。アプリやゲームを作りながら、分かったことをこのノートに書いています。運営者・編集方針