PHPの緊急パッチが23時公開　自分で当てられない人はどうすればいい？

PHPの開発チームが10月20日、重大な脆弱性2件を直すパッチを、10月21日の23時（日本時間）に出すと予告した。危ない度合いはCVSSで9.2。2件とも同じ点数だ。番号はCVE-2026-109618とCVE-2026-109619。ネットでは「php2shell」と呼ばれている。

Xでこの投稿を見る

PHPは、ブログやお店のサイトを動かしている土台のソフトだ。WordPressもLaravelもSymfonyも、その上で動く。セキュリティ会社のGMO Flatt Securityは、こうした広く使われている構成で攻撃が再現したと書いた。外部の人に任意コード実行をされるとみられている。

おかしいな、と思うところがある。公式は、中身を言わなかった。php.netに出た予告には、脆弱性の詳細も、影響を受けるバージョンも、修正版のバージョンも、リリースと同時に公開すると書いてある。何がどう危ないのかは、当日まで分からない。それでも、出たらすぐ上げられるように今から準備してほしい、と呼びかけている。EUの機関CERT-EUは、点数から見てPHP 5以降の全てのバージョンに影響が出る心配があるという見方を示した。

「23時に即あてろ」の大合唱

GMO Flatt Securityは21日の昼、パッチの前にできる手を示した。Session Upload Progressを切る設定だ。同社のX（旧Twitter）への投稿も「【要対応】」から始まっている。

ところが同じ日の15時すぎ、同社は追記した。この設定だけでは完全な対策にならないと分かった、と。ITmediaの記事では、一定の確率で役に立つ可能性はあるとしつつ、「今回の事象に100％寄与するとは断言できない」という同社の言葉が紹介されている。

残る手は、パッチだけになった。オランダのセキュリティ会社Sansecは、パッチの公開から15分で大量の攻撃が始まると見ている。米国のHuntressは20日の時点で、自分たちが見ている環境では実際に悪用された例はまだない、と書いた。根本の原因も、まだ公表されていないという。悪用できるコードが出回り始めていることを、GMO Flatt Securityは21日14時に追記した。

自分でPHPを上げられない人は

で、自分のサイトはどうすればいいのか。大合唱からこぼれるのが、ここの話だ。

サーバーを自分で借りて管理している人なら、23時に起きていて、パッチを当てればいい。だが、レンタルサーバーに置いただけの個人サイトでは、PHPのバージョンも設定ファイルも、自分では触れないことが多い。待つしかない。はてなブックマークには「レン鯖だったりすると鯖側で対応しない限りどうしようもないんだけどどうすんだろこれ…。」という書き込みがある。「WordPressサイトでPHP自分で更新できないところもあるだろう。大丈夫かこれ。」という声も出ている。

Sansecは、自分でサーバーを管理していない人向けに、具体的な助言を一つ書いている。21日のうちにホスティング会社に連絡して、修正版が出たらすぐ当てるよう頼んでおくこと。それ以上は、利用者の側にできることがない。

もう一つ、きつい話がある。Sansecによると、公式のパッチが出るのはPHP 8.2以降で、8.1より古いものには出ない見込みだ。EOLのPHPで動いている放置されたサイトは、待っていても何も来ない。

ネットの評判

はてなブックマークでは、GMO Flatt Securityの記事に279人がブックマークを付けた（21日夕方の時点）。コメントは、二つに割れている。まず設定を切って23時に即あてろという側と、自分では何もできないという側だ。

疲れの出ている声もある。「正直見なかった事にしたい」。「1日前に告知するほど重大なのか？」という戸惑いもあった。「ほとんどの中小企業はたぶんこれで滅亡するよ。」という書き込みも出ている。一方で、「今は特に使ってないから対岸の火事だけども」と、距離を置いて見ている人もいる。

CERT-EUは、すぐにパッチを当てられない場合、インターネットに公開しているアプリを外部ネットワークから切り離すことも考えるよう求めている。自分で当てられない個人サイトでそれをやるなら、当てられるまで公開を止める、という意味になる。