高市首相が自分のHPも止めた　PHPの穴を見つけたのはAIだった

さくらインターネットのPHP更新は、10月22日6時30分に終わった。21日23時からの作業で、告知のとおり、利用者のサイトが切れたのは数秒だった。さくらは「コントロールパネルから選択いただける全てのPHPバージョン」で対応を終えたとし、利用者側の緊急の対応は不要だと書いている。

一方で、22日になっても閉じたままのサイトがある。高市早苗首相のホームページだ。

Xでこの投稿を見る

PHPの修正版（8.5.12、8.4.27、8.3.36、8.2.35）が出たのは21日23時。本誌は10月22日、サービスを全面的に止めた会社と、数秒で済んださくらの差を伝えた。穴は2件（CVE-2026-109618、109619）。深刻度は10点満点で9.2。ログインしていない相手に、サーバー上でプログラムを動かされる恐れがある。いわゆるリモートコード実行だ。

「直せないなら止める」と書いたのは、首相だった

INTERNET Watchによると、高市首相がXに投稿したのは21日21時55分。修正版が出る1時間ほど前だった。「皆様に、今夜に対応して頂きたい大至急のお願いです」で始まり、こう続く。「修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」。首相が個別のソフトの穴についてXで直接呼びかけるのは異例だと、ITmediaは書いた。

そして、首相自身のサイトが止まった。時事通信の22日の取材に、首相の事務所関係者は「対策のため一時的に休止している」と話した。自民党の小林鷹之政調会長はXに「HPを即刻止めた」と投稿し、片山さつき財務相のHPも見られなくなった。

政治家のサイトだけではない。地方公共団体情報システム機構は22日未明、マイナンバーカード総合サイトを止めた。申請の手順を調べることも、交付申請書をダウンロードすることもできない。復旧の時期は未定だという。銀行も動いた。三菱UFJ銀行はネットバンキングの一部取引を止め、青森みちのく銀行は21日夜に個人向けアプリを止めた。静岡銀行、山梨中央銀行、山陰合同銀行も一部を止めている。

で、被害は出たのか。マイナンバーカード総合サイトについて、機構は現時点で被害は確認されていないとしている。全国銀行協会も、資金決済のオンラインシステムに現時点で影響がないことを確かめた。各社は、やられたからではなく、予防のために止めたと説明している。

見つけたのは、人ではなくAIだった

では、この穴はだれが見つけたのか。OpenAIは21日、セキュリティ企業Califが、OpenAIの「GPT-5.6 Sol」を使って見つけたと発表した。だれでも中身を見られるソフトの安全を調べるために、OpenAIが費用を出すPatch the Planetという枠組みの中での発見だった。セキュリティ企業Wizも、別に同じ穴に行き当たっている。使ったのはGPT-5.6 Solと、グーグルの「Gemini 4 Argon」だった。

OpenAIは、パートナー企業や米政府と組んで、2か月かけて公開の準備をしたとしている。そして「同様の発見は今後数カ月で急増する」と予想した。攻撃する側もAIを使える、という指摘も添えている。この2件には「php2shell」という呼び名が付いた。W3Techsの2026年10月の集計では、サーバー側の言語が分かったサイトの69.3%がPHPを使っている。

ネットの評判

まとめサイトのまとめダネ！には、首相の投稿に感謝する声が並んだ。「これ以上ない後方支援だった」「稟議が100倍通りやすくなる」。お金のかかる対策の許可を、上の人から取りやすくなった、という意味だ。「PHSなら知ってると笑っていた上司も、高市首相が注意喚起していると言ったら真面目に情報収集しだしたので助かりました」という声もある。

一方、まとめページのposfieには批判も集まった。「SNSではなく記者会見しろ」「国民全員があなたのフォロワーではありません」「実効性よりアピールが先行して見え、正直ポーズにしか感じない」。ITmediaは、エンジニアから「総理が発信したことにより、経営層にもリスクが認知される」と一定の評価が出ていると伝えた。

さくらの作業は7時間半で終わり、ウェブメールの対応も22日13時45分に終わった。止めたほうのマイナンバーカード総合サイトは、いつ戻るかが決まっていない。