#PHPCriticalVulnerabilityHitsGovernmentWebsites

PHPの重大な脆弱性を受け、世界各地でセキュリティ対応が急がれています。サイバー攻撃のリスクを抑えるため、政府機関や公的機関がウェブサイトを一時的に停止しています。

私が最も懸念しているのは、停止したウェブサイトの数だけではありません。組織が更新の必要性に気づいていない場所でも稼働している可能性のあるソフトウェアに、インターネットのどれほどの部分が依存しているかという点です。

1. 実際に何が起きたのか？

10月21日、PHP開発チームは、2件の重大な脆弱性「CVE-2026-109618」と「CVE-2026-109619」に対処する緊急セキュリティアップデートを公開しました。

どちらの脆弱性もCVSSの深刻度スコアは10点満点中9.2で、脆弱性のあるシステムでは、認証なしでリモートからコードを実行されるおそれがあります。

簡単に言えば、攻撃者はログインせずに、影響を受けるサーバー上で悪意のあるコードを実行できる可能性があります。システムやその権限によっては、データの漏えいやさらなる侵害、サービスの妨害につながるおそれがあります。

管理者がインフラの安全確保に取り組む間、予防措置として、ヨーロッパの複数の国で政府機関のウェブサイトが停止されました。

2. 影響はさらに広がる可能性があるのか？

はい。すでに影響を受けている政府機関のポータルサイト以外にも、リスクが及ぶ可能性があります。

PHPは多くのウェブサイトを支えており、コンテンツ管理システムやオンラインサービス、アプリケーションでも使われています。製品によっては、PHPが内部に組み込まれていることもあります。そのため、自社のアプリケーション構成でPHPを使っていると認識していなくても、組織が影響を受ける可能性があります。

最大の課題は、古いサーバーや忘れられたアプリケーション、サードパーティーのシステムを含め、影響を受けるすべてのインストールを特定することです。

セキュリティ研究者は、悪用の動きが見られる兆候も報告しています。そのため、脆弱性の発見から適切な修正の適用までにかかる時間が、特に重要になります。

ただし、脆弱性が広く存在するからといって、すべてのPHPウェブサイトが侵害されたとは限りません。サービス停止は予防措置である可能性があり、攻撃が成功した証拠とは限りません。

3. インターネットインフラにとって重要な理由

現代のデジタルサービスは相互につながっています。脆弱なサーバーが、単一の公開ウェブページだけでなく、内部システムやデータベース、ほかのサービスにも接続している場合、それらまで危険にさらされる可能性があります。

そのため、セキュリティチームはウェブサイトを迅速に復旧することだけを考えていてはいけません。再公開する前に、基盤となるシステムが安全であることを確認する必要があります。

今回の事案は、レガシーソフトウェアの維持管理の難しさも浮き彫りにしています。古いPHPのバージョンの中には、公式のセキュリティアップデートが提供されなくなったものもあり、アップグレードと長期的な保守が不可欠です。

4. 組織は今、何をすべきか？

まず取り組むべきことは明確です。

すべてのPHPインストールを特定する。特に、インターネットに公開されているものを確認する。

適切な修正が適用されたPHPのリリースにアップグレードする。

PHPが組み込まれている可能性のあるホスティングプラットフォーム、プラグイン、サードパーティー製品を確認する。

ログとシステムを監視し、不審な動きがないか調べる。

速やかに安全を確保できないシステムは、修正対応が可能になるまで隔離することを検討する。

PHPの公式ガイダンスでは、PHP 8.2.35、8.3.36、8.4.27、8.5.12など、修正済みのリリースが案内されています。管理者は、自身の環境に適したバージョンとアップグレード手順を確認してください。

私の見解：今回の事案は、サイバーセキュリティとは攻撃を防ぐことだけではない、ということを改めて示しています。組織がどのソフトウェアを使っているかを把握し、サポートが続く状態に保ち、重大な脆弱性が公表されたときに迅速に対応することも重要です。

修正プログラムは公開されていますが、本当の課題は、脆弱なシステムをどれだけ迅速に特定し、安全を確保できるかです。

これは投資助言ではありません。

最大のリスクは脆弱性そのものだと思いますか？それとも、古くて修正が適用されていないインフラを、いまだに運用している組織の多さでしょうか？
@Gate_Square