PHPの脆弱性「php2shell」――ネットの7割を動かす裏方に開いた穴。PHPとは何か、2024年の見送り、公開前に始まった攻撃、日本中の緊急メンテナンス、これから気をつけることまで完全解説

2026年10月21日の夜、日本中のウェブサービスが次々と「緊急メンテナンス」の画面に切り替わりました。ニコニコ、pixiv、ネットショップのBASE、人気のスマホゲームまで。原因は、ほとんどの人が名前も知らない「PHP（ピーエイチピー）」というプログラムに見つかった、2つの重大な欠陥です。海外では「php2shell（ピーエイチピー・トゥー・シェル）」と呼ばれ、世界のサーバー会社が一斉に修正に走りました。そもそもPHPとは何なのか。何が起きて、私たちは何に気をつければいいのか。今回ばかりは、人生にまったく影響しないとは言い切れません。それでも肩の力を抜いて、知っておくと少しだけ得をするムダ知識をインストールしていこう。

そもそもPHPとは何か――ネットの7割を動かす裏方

ウェブサイトを開くと、ページは一瞬で表示されます。けれど、その裏では見えない作業が動いています。たとえばネットショップで「あなたへのおすすめ」が出るのは、サーバーと呼ばれる遠くのコンピューターが、あなたの閲覧記録を読み、その場でページを組み立てて送っているからです。この「注文を受けてから料理を作る厨房」のような仕事を担うプログラミング言語の代表が、PHPです。

PHPは1994年、デンマーク生まれのプログラマー、ラスマス・ラードフが、自分のホームページの訪問者を数えるために作った小さな道具から始まりました。当初の名前は「Personal Home Page（個人のホームページ）」。それが30年かけて育ち、調査会社W3Techsの集計では、裏側の言語が分かっているウェブサイトの約69%がPHPで動いています。ブログやニュースサイトでおなじみのWordPress（ワードプレス）も、オンラインショップの仕組みの多くも、PHPの上に建っています。創業したばかりのFacebookも、最初はPHPで書かれていましたし、ウィキペディアを動かすソフトも今なおPHP製です。つまりPHPに穴があくと、ネットの大部分の厨房に、一度に裏口ができてしまうのです。

何が壊れていたのか――「片付け」の途中に潜んでいた穴

今回見つかった欠陥には、CVE-2026-109618とCVE-2026-109619という番号が付けられました。CVEは、世界共通の「脆弱性の背番号」です。深刻さを示すCVSSという点数は10点満点中9.2で、最も危険な「緊急」の区分に入ります。

中身を料理店にたとえてみます。PHPの厨房では、注文が来るたびに作業台を広げ、料理を出し終えると台を片付けて次の注文に備えます。1つ目の欠陥は、作業台を広げている途中で材料置き場、つまりメモリーが足りなくなると、準備が半端なまま片付けが始まってしまう、というものです。2つ目は、注文が途中で失敗したとき、片付けたはずの台に前の客の伝票が残り、次の客がそれを使えてしまう、というものでした。どちらも、外から細工した注文を送るだけで、厨房の中で好きな命令を実行される危険がありました。専門用語では「リモートコード実行」と呼びます。

厄介なのは、ログインもパスワードも要らない点です。しかもサイトの作りではなく、PHPそのものの深い部分の問題なので、WordPressやプラグインをいくら最新にしても防げません。調べた研究者によれば、問題の仕組みは2012年ごろのPHP 5.4までさかのぼるとされています。

時系列で追う――2024年の見送りから10月21日23時まで

話の始まりは2024年です。PHPを支える非営利団体「PHP財団」が外部の専門会社に安全診断を頼んだところ、メモリーの扱いに怪しい点が見つかりました。ただ、当時は実際に攻撃へつなげる道筋が見つからず、直し方をめぐって議論がまとまらないまま、修正は止まってしまいます。

2026年8月11日、状況が一変します。セキュリティ企業Calif（カリフ）の研究者が、同じ根っこから攻撃が成立することを報告し、同じ日にOpenAIも独立して同じ問題を報告しました。どちらも調査にAIを使っていたとされています。財団はこれを最優先の課題にし、修正の準備を極秘で進めました。

ところが公開直前の10月20日、日本時間では21日の未明に、脆弱性の番号がネットに漏れます。財団は公開を1日前倒しし、10月21日の23時（日本時間）に修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を一斉に公開しました。さらに23日には、関連する3つ目の欠陥CVE-2026-115560も見つかり、追加の注意が出ています。

公開前から始まっていた攻撃と、日本中の緊急メンテナンス

本来、脆弱性は直す薬と同時に公表されます。しかし今回は、その順番が崩れました。Amazonの調査チームは、公表の4日前の10月17日に、おとりのサーバーへ攻撃の試みが来ていたと明かしています。Califが攻撃の様子を写した動画を誤って公開する出来事もあり、修正版が出る半日前には、試作の攻撃プログラムがネットに出回り始めました。

ウェブの防御サービスを手がけるCloudflare（クラウドフレア）は、公開の約9時間前に防御ルールを配り、無料プランの利用者まで自動で守りました。同社のトップによれば、攻撃の試みは公開前の10時間で数千件。公開後は45分で数万件、2時間で数十万件、やがて数百万件に膨らみました。攻撃者は、はじかれるたびに中身を少しずつ変えて、防御のすき間を探してきたといいます。

日本ではこの夜、多くの企業が先手を打ってサービスを止めました。さくらインターネットは公開前の22時30分から予防のメンテナンスに入り、エックスサーバーは翌22日の朝6時45分までに8.2から8.5の系統へ、昼の14時までには更新の止まった古い版にまで修正を当てています。さくらインターネットは23日の時点で、この脆弱性を悪用した不正アクセスや情報漏えいの報告はないと説明しています。止まった画面の向こうでは、公開前から修正を準備していた人たちが徹夜で作業していたわけです。

なぜ防げなかったのか――AIが見つけ、少人数が抱えた

今回の騒動には、これからの時代を映す影が2つあります。1つ目はAIです。AIを使えば、人の目では見落とす穴を短時間で探し出せます。今回それは守る側の手柄でしたが、同じ道具は攻撃する側も使えます。見つかるまでの時間も、悪用されるまでの時間も、どちらも短くなっていく、ということです。実際、PHPの欠陥はこれまでも狙われてきました。2024年に見つかったCVE-2024-4577は、アメリカの政府機関CISAが「悪用が確認された脆弱性」の一覧に載せ、身代金を要求するランサムウェアの攻撃にも使われたと記録されています。

2つ目は、世界の7割を支える仕組みが、驚くほど少ない人数で守られていることです。PHP財団は声明で、エンジンの奥深くを理解する開発者が少なく、意思決定が遅れたことを認めました。さらに、ある企業が取り決めより数時間早く修正版を公開したことにも、財団は抗議しています。オープンソース、つまり誰でも無料で使える公開ソフトは、善意の少人数に支えられたまま、ネットの土台になっているのです。

もう1つの数字が重く響きます。VirusTotalの調査では、ネットから見えるPHPの機械は約510万件あり、そのうち少なくとも約75万8000件が、すでに更新の止まった古い版でした。公式の修正版が出たのは8.2以降だけで、古い版は自分で手当てするか、新しい版へ引っ越すしかありません。

これから何に注意すればいいのか――立場別のチェックリスト

まず、ウェブを見るだけの人。基本的に、あなた自身がすることはありません。ただ、メンテナンス明けのサービスで「パスワードを変えてください」と案内が出たら、その会社の公式サイトやアプリから手続きをしてください。この騒ぎに便乗した「緊急」を名乗る偽メールのリンクは、開かないのが鉄則です。

次に、レンタルサーバーでブログやお店のサイトを持っている人。大手の多くは修正を終えていますが、管理画面で使っているPHPの版を確かめ、8.1以前なら新しい版へ切り替えましょう。WordPressなら「ツール」の「サイトヘルス」で確認できます。WordPress本体の更新ではPHPは直らない、という点がいちばんの落とし穴です。

最後に、自分でサーバーを管理している人。修正版への更新が唯一の完全な対策です。更新するまでは、専門機関の勧めに従って外部との接続を絞り、10月17日以降の記録に不審な動きがないか確かめてください。修正は、すでに入り込まれた侵入までは消してくれません。

まとめ

PHPは、1994年に一人のプログラマーが作った小さな道具から、ネットの約7割を支える土台に育ちました。2026年10月のphp2shellは、その土台の深い部分にあった欠陥で、2024年に兆しがありながら直せず、AIを使った調査で掘り当てられ、公開前に漏れて攻撃が始まるという、異例の経過をたどりました。私たちにできることは、画面の向こうの更新を急がせ、偽物の「緊急」に乗らないこと。見えない厨房の扉は、いつも誰かが閉めてくれているわけではないのです。