今回は、世界中で大騒ぎとなった「PHPの脆弱性問題」について、わかりやすく説明します。
また、後半では、Web業務関係者として、この騒動に少し物申したいと思います。
PHP脆弱性問題を一言で説明すると…
Webサイトの仕組みに重大な欠陥が見つかり、第三者による不正操作の可能性が判明。
その結果、情報を盗まれたり、Webサイトを勝手に操作されたりする危険がある。
ということです。
でも、さすがにこれだけでは説明不足。
そこで、Q＆A形式で深堀りしていきます。
Q1. 具体的にどんな情報が盗まれたのか？
実は、現在（2026年10月30日）まで、国内での情報漏洩は報告されていません。なお、タイムズカーやGMOの情報漏洩は、今回のPHP問題との関係性は確認されていません。タイミングが重なったようですが、それぞれ別の事件のようです。
Q2. 情報が盗まれる以外に、どんな問題があるの？
Webサイトを勝手に書き換えられたり、システムを停止させられたりする危険があります。さらに、侵入されたサーバーが、別の会社などを攻撃するために利用される可能性もあります。つまり、被害者になるだけでなく、知らないうちに別の攻撃に利用される危険もあるということです。
Q3. 不正操作された企業はどこ？
調査によると、日本、米国、台湾、韓国の4か国で計25台のサーバーが侵害されたと報告されています。日本で何台が被害を受けたのか、どの企業が被害を受けたのかまでは公表されていません
Q4. そもそも欠陥とは？
PHPというプログラムが、特定の条件でデータを正しく処理できなくなる欠陥です。本来、Webサイトは外部から勝手に操作できないようになっています。でも、この欠陥を利用すると、外部から命令を実行できてしまうわけです。
Q5. PHPとは？ WordPressとは？
PHPは、Webサイトを動かすための言語。
WordPressは、Webサイトを制作・管理する仕組みです。
車に例えるなら…
- WordPress＝車そのもの
- PHP＝車を動かすエンジン
今回の事件は、エンジンに欠陥が見つかったようなもの。
従って、WordPress以外でもPHPを使っているサイトには注意が必要
Q6. どんなサイトが危険？
今回の欠陥が修復されていないPHPのサイトです。
WordPressに限らず、PHPを使っているサイトは影響を受ける可能性があります。
Q7. 早急にやるべきことありますか？
保守管理を専門業者に依頼してる場合は、管理会社からのお知らせを確認してください。10月21日に、PHPの運営側から対策プログラムが公開されています。管理会社がすでに対応しているはずです。案内のない場合は、一度連絡してみましょう。管理を業者に依頼してない場合は、サーバー会社のお知らせを確認しましょう。できれは、これを機に管理会社と保守契約することをおすすめします。もちろん、弊社でも承ります。
一連の騒動の時系列
| 日付 | 出来事 |
| 10月17日 | 攻撃が試みられていた（後に判明） |
| 10月20日 | 欠陥の情報がインターネット上に流出 |
| 10月21日 | PHPの開発チームが欠陥を正式発表 |
| 高市総理がSNSで緊急対応を呼びかけ | |
| 攻撃の試みが急増 | |
| 23時ごろ、修正版が公開される | |
| 10月22日 | 高市総理が自身のサイトの一時停止を公表 |
| 日本の専門機関も注意喚起 | |
| 10月23日 | 日本を含む4か国で、機器への不正侵入が確認される |
| 10月26日 | 米政府が実際に攻撃に使われた欠陥として登録 |
| 10月27日 | 日本の専門機関が注意喚起を更新 |
当初は「欠陥情報を公開したことで、攻撃が始まった」と言われてました。
正直「なんて間抜けなんだろう」と思ってました(笑)
だって、ネット犯罪者たちに「今、ウチのセキリュティ弱いです」と教えてるようなもの。
でも実際は、それ以前から攻撃はあったみたいです。
ただし、情報が広まったあと、攻撃が急増してることも報告されてます。
もちろん、欠陥を公表すること自体が悪いわけではありません。
利用者に危険を知らせ、修正してもらうためには必要なことです。
問題は、修正が行き渡る前に、攻撃に利用できる情報が広まってしまったこと。
ここは、今回の騒動を考えるうえで重要なポイントだと思います。
騒動に物申す
ここからはWeb事業を行う者として、騒動及び今後について思うことを述べたい。
メディアに一言付け加えてほしかった
事件の報道直後、問合せの電話が鳴りやまなかった💦
こっちとしては、少しでも早く対応しなければいけない状況。
にも関わらず、電話対応だけで1日が終わってしまった。
きっと、同じようなWeb管理会社がいっぱいあったんじゃないかな。
もちろん、緊急な問題ですから報道が必要なのはわかります。
ただ、危険を知らせるだけではなく、対応する現場への配慮もほしかった。
例えば、こんな感じに付け加えてほしかった。
メディア現在、Webサイトの管理会社では問題への対応を急いでいます。
問い合わせが集中すると、対応に支障が出る可能性があります。
緊急を除き、まずは管理会社からの案内をご確認ください。
多くの報道が、ひたすら煽ってるように感じた。
あれじゃあ、みんな怖くなって連絡するよね。
今後、WordPressの人気は落ちるが…
今回の件で、WordPressの利用は減るでしょうね。
ウチも含め、WordPress一択だった製作会社に、別の選択肢を考える機会になったと言えます。
お客さんから「WordPressはやめて」と言われるかもしれません。
でも、誤解してほしくないのは、WordPressそのものの欠陥ではないということ。
……
そもそも、なぜWordPressが人気なのか？
それだけ使い勝手がイイからです。
こういったメリットは制作会社だけのものではありません。
制作費、制作時間を抑えられることは、お客さんにも還元されます。
別にWordPress以外が苦手で言ってるわけではありません。
むしろコーディングは得意です。
それに今はAIがかわりに作ることだってできます。
でも、AIのコーディングって、そこそこ時間がかかるんです。
とはいえ、その間に別のことするほど長くもない。
なので、簡単なサイトなら自分でやったほうが早い。
そうなると、やっぱりWordPressの使い勝手がいいんですよね。
今後、選択肢は増えていくでしょうが、だからといってWordPressが簡単になくなるとは思いません。
何にしても危険性はある
オンライン上に情報をのせる以上、こういった危険性はありつづける。
車に乗る以上、交通事故の可能性があるのと一緒。
いくら安全運転をしていても、相手からぶつかってくることだってあります。
ネットの世界にも、そんな「あたり屋」のような犯罪者がいるわけです。
だからといって、車に乗るのをやめますか？
そんなことないですよね。
保険に入り、ドライブレコーダーを付けたり。
危険に備えつつ利用します。
Webサイトも同じなんです。
今後、WordPressより使い勝手のイイものが登場しても、欠陥がないという保証はありません。
人気になれば、きっと、犯罪者に狙われるでしょう。
今回の騒動で見直すべきは、安全管理に対する考え方なのかもしれません。
最低限、保守管理の契約は必要だと思います。
