1: 夜のけいちゃん ★ 2026/10/22(木) 10:45:46.32 ID:iV4Fzsq89 10/22(木) 10:12配信 INTERNET Watch 10月21日、スクリプト言語「PHP」の深刻な脆弱性2件が発表されるとともに、同日23時に修正プログラムの提供が予告された。CVE-2026-109618、CVE-2026-109619の2つで、CVSS 4.0のスコアはいずれも9.2。全てのPHPが影響を受け、認証なしでリモートコード実行が可能になるおそれがある。この脆弱性は「php2shell」とも呼ばれる。 「リモートコード実行が可能になるおそれ」とは、遠隔から任意のプログラムを対象のサーバー上で実行可能になるということで、攻撃者が既存のウェブサイトを書き換えたうえでアクセスしたユーザーに何らかの攻撃を加えたり、サーバー上のデータを窃取したりと、さまざまな悪意ある行為が可能になる可能性がある、極めて深刻な脆弱性だ。 ■ 被害拡大前の「予防的公開停止」は今後も増えるか この脆弱性の発表を受け、多くのサービスでは緊急メンテナンスが告知された。また、予防的に公開を停止することを告知するサービスやウェブサイトも多数あった。 PHPはサーバー上で動作し、多くのウェブアプリケーションで利用されている。SNSでは、PHPを使用しない、HTMLだけのウェブサイトなら問題なくアクセス可能ではないか、との声もあったが、そのウェブサイトが設置されているサーバーにPHPが組み込まれていれば、影響は免れない。 本件の脆弱性が明らかになる前にも、多くのサービスで不正アクセス・情報漏えいが続いている中で、不正アクセスの試行を検知してサービスを停止した例があった。ソフトバンクでは、「第三者による不正アクセスの試みが判明した」として、「My SoftBank」「My Y!mobile」「My Menu」のウェブサイトを10月17日に一時停止している（発表されたのは19日） マネックス証券では、10月20日に、不正アクセスの試みを検知して、予防的措置として「証券総合取引口座」の新規開設受付を一時的に停止している。 現在のサイバー攻撃では、攻撃対象のシステムに侵入（不正アクセス）後、時間をかけてデータの窃取などを行うタイプの攻撃もある。従来は、ユーザーの利便性を優先し、不正アクセスの試行の形跡がみられてもそのまま運用されていた例があったかもしれないが、今後は、試行の形跡のような攻撃の初期段階とみられる兆候を検知した段階でこのような「予防的なサービス停止」を行い、早期の対応をはかる事例が多くなるかもしれない。 本件に関連しては、X（旧Twitter）の国家サイバー統括室（NCO）のアカウント（@cyber_forecast）が、「修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」とのポストをしている。 ■ Xで高市総理が「皆様に大至急のお願い」 Xにて、高市早苗総理大臣のアカウント（@takaichi_sanae）が、21日21時55分に、「皆様に、今夜に対応して頂きたい大至急のお願いです」として、本件に関するポストを行った。 呼び掛け対象は「皆様」となっているが、PHPの脆弱性の対応はサーバー管理者、レンタルサーバー事業者が行うもので、一般のユーザーが直接的にできることはない。ただ、インターネットを利用する誰もが影響を受けるこの問題に関して、認知を高める効果があったであろう。このポストでも、予防的な公開停止に言及されている。 長文につき後はソースで 引用元: ・多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？ [夜のけいちゃん★]…