緊急のPHP更新で「ホームページが閲覧できなくなる可能性」videwが告知

videw.comが10月21日、レンタルサーバの一部の客に向けて告知を出した。PHPの重大な脆弱性への対応で、保守会社が古いPHPの利用者を強制的にPHP 8.4へ変えることも「視野に入れている」との報告があった、という内容だ。告知には、こう書いてある。「お客様のホームページが閲覧できなくなる可能性がございます」。

守ったら、見られなくなるかもしれない。

対象は、ホスティングサービス（LM20G、L200G、L400G、L600G、L150G）の一部の契約。作業は10月21日の23時から。ただし「作業内容」の欄は「未定」のままで、強制変更が本当に行われたのかは分からない。

古いままでは、置いておけない

PHPに重い穴が2つ見つかった。名前は「php2shell」、番号はCVE-2026-109618とCVE-2026-109619。深刻さの点数CVSSは、どちらも9.2。外から勝手にプログラムを走らされる恐れがある。

修正版が出たのは、10月21日の夜。8.2.35、8.3.36、8.4.27、8.5.12の4つだ。直してもらえるのは8.2以上だけ。PHP 8.1以前はサポート終了で、公式の修正は出ない。影響はPHP 5.4.0以降に及ぶ。

しかも、待ってはくれない。調査会社Sansecは、修正版が出る前からCloudflareがPHPのサイトへの攻撃を報告していた、と書いた。悪用できると主張するコードも出回り始めている。様子見は、もう選べない。

守った直後が、いちばん危ない

あまり言われていないが、PHP 8.4は古いコードをそのまま動かしてくれるとは限らない。8.4では、引数の書き方の一部が非推奨になったと、PHPの公式の手引きに書いてある。WordPressも、公式の手引きで「6.7でPHP 8.4のベータ対応を加えた」としている。長く触っていないサイトほど、上がった先で止まりやすい。

videwの告知に、バックアップや元に戻す手順の案内はない。更新が終わったあとに、トップページ、問い合わせフォーム、カートが動くかを自分で開いて確かめる人が要る。

videwは、詳しい作業内容と時間帯、影響の範囲を、決まり次第、別に案内するとしている。次に出るのは、その案内だ。