PHP脆弱性の一斉停止、イギリス政府も「オフラインに」　日本だけじゃなかった

イギリス政府のサイバー機関NCSCが10月21日に出した案内に、こんな一文がある。「一時的な回避策も使えない、または時間がかかりすぎる場合は、完全に対処できるまでシステムをオフラインにすることを検討すべきだ」。政府が企業に、サイトを止めることまで考えろと書いたわけだ。

同じ21日、日本では50を超える組織がサービスを止めた。ウマ娘、グランブルーファンタジー、pixiv、ニコニコ、BASE、DMM.com、保育園向けの「コドモン」。SNSには「一斉にサイバー攻撃を受けるの？」という声が並んだ。

修正版が出たのは、夜の11時だった

原因はPHPの脆弱性2件（CVE-2026-109618とCVE-2026-109619）。深刻度はCVSSv4.0で9.2。ログインしないまま、よそのサーバーで勝手にプログラムを動かせるリモートコード実行につながる。NCSCは、全部のバージョンが影響を受けるので、古いPHPだけを探すなと書いている。

修正版が公開されたのは、日本時間21日の23時。PHP 8.5.12、8.4.27、8.3.36、8.2.35の4本だ。つまり日本の各社は、直すものが届く前にサービスを止めていた。なぜそんなに急いだのか。

攻撃が、修正版より先に来ていた。セキュリティ企業のPatchstackとクラウドフレアは、日本時間21日の夕方から、この2件を狙う攻撃の試みを見ていると伝えた。修正版より6時間ほど早い。

イギリスもEUも、日本政府も「止める」と書いた

NCSCだけではない。EUのCERT-EUも、この2件を「php2shell」と名づけた案内を出した。その中で、すぐ直せないなら、インターネットに面したシステムを公衆回線から切り離すことを考えるよう勧めた。アメリカのCISAのほうは、実際に攻撃に使われたと確かめた脆弱性の一覧KEVに、この2件をまだ載せていない。

日本も同じだった。国家サイバー統括室はXで「修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」と書いた。高市早苗首相も、自分のXアカウントで同じ内容を呼びかけている。

一斉停止は、各社が勝手に慌てた結果ではなかった。

ネットの評判

Xでは「一斉にサイバー攻撃を受けるの？」という不安の声が目立った。一方で、緊急メンテに入ったところのほうが比較的安全で、止めていないサイトのほうが心配だという見方も出ていた。

分かっていないことも残る。攻撃の試みは観測されたが、乗っ取りまで進んだのかは、まだはっきりしない。続報が出るとすれば、止めずに動かし続けたサイトからの被害の発表だろう。

変な音の家電、すぐ使うのやめる？この話、あなたはどっち？ →