世界的インターネット危機、プログラミング言語「PHP」の深刻な脆弱性「php2shell」の発覚と一斉緊急メンテナンスの波

2026年10月21日（日本時間）、世界のWebサイトの約7割で使用されているプログラミング言語「PHP」において、極めて重大な2件のゼロデイ脆弱性（通称「php2shell」：CVE-2026-109618、CVE-2026-109619）が公表されました。 深刻度: 国際評価基準（CVSS v4.0）において、最高レベルの「Critical（緊急）」に該当する9.2と評価されています。 影響と脅威: 認証なしでリモートから任意のコードを実行（RCE）される恐れがあり、第三者によるサーバーの乗っ取り、個人情報や機密データの窃取・破壊、さらにはデータを暗号化して金銭を要求するランサムウェア攻撃などの甚大な被害につながるリスクが指摘されています。 脆弱性の技術的要因と影響範囲 本脆弱性群は、主にPHP処理系のメモリ管理や異常処理の不備に起因しています。 CVE-2026-109618（OOM時のRCE）: メモリ不足（OOM）などの異常処理時にデータ初期化が不完全なまま中断され、後続のリクエスト処理で不正データが有効なものとして誤認・参照される問題です。 CVE-2026-109619（Stale Global StateによるRCE）: メモリ解放後もワーカー内に過去の内部状態が残存し、Use After Free（メモリ解放後利用）の状態が引き起こされる問題です。 影響範囲: mod_php や PHP-FPM をはじめ、WordPress、Laravel、Symfonyといった一般的なWeb開発構成で攻撃が再現されることが確認されており、PHP 5.x系、7.x系、8.x系の幅広いバージョンに影響が及ぶと分析されています。 政府・機関・開発元および社会的な対応 被害防止に向け、世界各国および日本国内で迅速かつ異例の対応が取られました。 修正パッチの公開: PHP開発チームは10月21日22時40分頃（日本時間）に脆弱性を修正した安全なバージョン（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）を緊急リリースし、全ユーザーに対して直ちのアップデートを強く要請しました。 政府・行政の異例の注意喚起: 情報処理推進機構（IPA）や国家サイバー統括室（NCO）が速やかなパッチ適用を呼びかけたほか、高市早苗首相も自身のX（旧Twitter）にて「大至急のお願い」として緊急対応を督促し、修正が困難な場合はサイトの一時停止も有効なリスク低減策であると言及しました。 民間企業・機関の一斉緊急メンテナンス: 修正パッチの適用や攻撃の予防的措置として、金融機関（地銀・証券）、交通インフラ（京阪電鉄、阪神電鉄等）、ECサービス（BASE、BOOTH等）、ゲーム（ウマ娘等）、自治体・大学サイト、動画配信（ニコニコ）など多岐にわたる分野でWebサービスや公式サイトのサービス一斉一時停止・緊急メンテナンスが実施されました。海外でもオランダのサイバー安全保障センター等がサイトを一時遮断するなどの予防策を講じています。 投げ銭でこの番組を応援する： https://cma7smwcr1nxt01vb2gajgk2j.firstory.cc/join このエピソードへの感想をコメントで教えてください： https://open.firstory.fm/user/cma7smwcr1nxt01vb2gajgk2j/comments Powered by Firstory Hosting