多くのサイトがひと晩で緊急対応？PHPの重大な脆弱性はどこにあったのか

ウェブサイトを作るためのプログラムの言語なんだ。公式サイトは自分たちのことを「特にウェブ開発に向いた、広く使われる言語」と紹介してるよ。

ううん、動いてるのは見に行った先のほう。サイトのサーバー（ページを送り返すコンピューター）の上で、PHPが動くんだ。
そこで、表示する中身を組み立てるんだ。

ブログを作るWordPressも、ウィキペディアの土台のMediaWikiも、PHPで作られてるよ。

調査会社W3Techsによると、2026年10月22日の時点で69.3%。これはサーバー側の言語が分かったサイトのうちの割合なんだ。
全部のウェブの7割、ではないところに気をつけてね。

見つかった脆弱性は2つ。深刻度はどちらも、10点満点で9.2の「緊急」なんだ。
悪用されると、ログインしていない外の人に、サーバーでプログラムを動かされるおそれがあるよ。

そこが今回の大事なところで、穴があったのはPHPの本体なんだ。
だからWordPressを使っていても、自分で作ったサイトでも、ページの処理にPHPを使っていれば対象になるよ。

1つは、片付けたはずのメモリ（作業用の記憶の場所）を、次の頼みごとの処理が使ってしまうことがある問題。
頼みごとっていうのは、ページを見たいという要求のことね。

もう1つは、メモリが足りなくなって処理が途中で止まったときの問題。作りかけのデータを、後片付けの処理が使ってしまうことがあるんだ。

どちらも、そこにつけ込まれると外からプログラムを動かされるおそれがある、と開発チームは説明してるんだ。

直した版、つまり修正版を出すのは、PHPを作っているチームなんだ。
開発チームは日本時間の10月21日早朝に、その日の午後11時に修正版を出すと予告したよ。

運営する側にとっては、直す手段がまだない時間だった。
だから、いったんサービスを止めて守るか、午後11時を待って夜のうちに更新するかを選ぶことになったんだ。

高市首相が午後9時55分に、本人のXアカウントで、その夜のうちの対応を「大至急のお願い」として呼びかけたんだ。
PHPを使っているかを確かめて、修正版をすぐ当てる準備をすること。難しければ、サイトを一時的に止めることも有効な手の一つだと書いてるよ。

最初は22日の予定だったんだ。
ところが公開の前に、識別番号が誤った深刻度つきで出回ってしまった。それを受けて1日早めたと、PHPを支える団体は説明してるよ。

レンタルサーバーを借りている場合は、サーバーの会社がPHPを更新したところもあるよ。
さくらインターネットは21日午後11時から22日午前6時30分まで、緊急メンテナンスでPHPを更新したんだ。

エックスサーバーは、念のため公式サイトと管理画面を一時止めた。
22日午前6時45分の時点で、PHP 8.2から8.5の修正を対象のすべてのサーバーに当て終えたと告知してるよ。

PHP 8.1までの古い版は、開発チームの更新の対象から外れてるんだ。
今回は深刻だから最小限の直しは出したけど、IPAは新しい版へ移ることをすすめてるよ。

アメリカの政府機関CISAは、公表の時点で悪用を観測していないとしてる。でも、ネット企業Cloudflareの技術責任者は、攻撃の兆しが出始めたとXに書き込んでるんだ。
22日の時点では、どちらとも言い切れないよ。