PHPの欠陥で保育園アプリまで止めた日本　米国は止めなかった、どっちが正解？

10月21日、保育園や幼稚園で使われているアプリ「コドモン」が止まった。子どもの登園を管理し、保護者に連絡するためのアプリだ。東京のある保育園では、その両方ができなくなった。

原因は、PHPに見つかった2件の欠陥だ。CVE-2026-109618とCVE-2026-109619。通称は「php2shell」。CVSSは9.2。IDもパスワードもいらずにリモートコード実行ができてしまう。

国内では246を超える組織が、サイトやサービスを止めると告知した。自治体が18、金融機関が8、鉄道などが11、ゲーム会社が30、通販やチケットが27。pixiv、ニコニコ、BASE、財務省も止めた。

日本経済新聞は、震源地のアメリカではサイトを止めなかった企業が大半だったと伝えている。

なぜ日本だけ、こんなに止まったのか

理由の一つは、時計の針だ。

修正版が公開されたのは、日本時間の21日午後11時ごろ。一方、欠陥の管理番号は前日の20日に、誤った情報付きで外へ漏れていた。日本時間だと21日の未明にあたる。同じころ、海外のセキュリティ企業が公開前の情報を投稿してしまった。

つまり日本の会社は、21日の丸1営業日を「穴の場所は知られているのに、直す手段がない」状態で過ごした。

コドモンが止めたのは、21日の午後2時16分。修正版が出る9時間前だ。コドモンは「万が一情報が流出した場合、その被害を完全に取り消すことはできない」と説明した。被害が出てから直すより、先に防ぐほうを選んだという。そのうえで「突然の停止が現場や保護者の皆さまに大きなご負担をおかけすることは十分に認識している」とも書いている。主要なサービスが戻ったのは、翌22日の午前3時22分だった。

同じ21日の午後9時55分、高市総理がXに投稿した。「皆様に、今夜に対応して頂きたい大至急のお願い」。「ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」とまで書いた。総理が企業にサイト停止を勧めるのは、かなり珍しい。

ネットの評判

はてなブックマークでは、この日経の記事に147件のブックマークが付き、意見が割れた。

止めて正解だという側は「止める方が正解だろ」「PoC在ったら止めるほうが一般的には妥当」と書く。攻撃のやり方が出回ったあとなら止めるのが普通、という考え方だ。「欧州でも結構止めてるし止めないのはよい、というものでもない」という声もあった。

止めたこと自体を疑う声も、同じ欄に並ぶ。「米は事前情報提供があった。米はサイト止まらなかったのに欧・日は止まった。日が止まったのは技術不足」。「PHPってそこらじゅうで使われてるので、そもそも『米国は止めなかった』と一律に言えるか疑問」と、記事のまとめ方をおかしいとする声も出た。WAFで足りたのでは、という疑問もあった。「攻撃検知WAFがあったら停めなくてもいけたのかな？」

ただ、PHPの公式は、根本の対策は修正版への更新しかないとしている。Cloudflareなどが配ったWAFのルールは、あくまで補いだ。

止めた判断は、どうだったのか

EGセキュアソリューションズの徳丸浩取締役CTOは、各社が止めて修正を急いだことを評価している。「修正プログラム導入後のテストや動作確認で最低数時間はかかる」からだ。攻撃の試みは、実際に起きていた。Cloudflareは修正版の公開直後から、2時間以内に数十万件の試みを観測したという。

一方、中国ではサイトを閉めたという報道が見当たらない。テンセントクラウドなどは、更新の呼びかけにとどめた。止めてでも守るか、動かしながら直すか。どちらが正しかったかは、これから数週間の被害の出方で見えてくる。

自分のサイトが危ないかは、無料で調べられる。OpenAIが21日に出した「PHP Version Checker」だ。GitHubで公開されていて、URLを入れるとそのサイトのPHPのバージョンを読み取り、修正版より前かを判定する。

穴を8月11日にPHP側へ報告した1組も、このツールを配ったOpenAIだった。