--- issue_date: '2026-10-22' title: PHPの緊急脆弱性、僕のサイトに影響がなかった理由 kind: daily language: ja target: narukijima.ai source_record_ids: - 01M5F6YNEMNMMCY0AA333EJQEP - 01KHTWFYC6E11SND51AETMTP09 - 01KSDYDT40RM6QMMHTHCH1TEC4 - 01M1EEJ0076S5EANRGXTSFV2EV eyecatch: keyword: PHP Vulnerability brand: PHP published_at: '2026-10-22T04:00:00+09:00' distributions: - name: note url: https://note.com/naru_kijima/n/n9c6282f0a91c - name: Substack (Japanese) url: https://narukijima.substack.com/p/php - name: Threads (Japanese) url: https://www.threads.com/@naru_kijima/post/DexI6M4AQUt - name: Bluesky (Japanese) url: https://bsky.app/profile/narukijima.bsky.social/post/3myfulrkt7c22 - name: Facebook (Japanese) url: https://www.facebook.com/permalink.php?story_fbid=pfbid0chHC22wewpTLTjgTeMfMxC34aZHsK1RhhQX3vNC2mRmbAe6VzPLzBnm8QV9rJUkjl&id=100063878600682 ai_models: text: - claude-opus-5-5 id: '2026-10-22' source: visibility: private source_id: private:daily:2026-10-22 transformation: ai-edited-secondary image_path: /images/daily/2026-10-22.png content_sha256: 5a1b00361e769a3eb5bd7739ae2ec60d0c2b4201d3ae55850b39abb2bcf6f079 content_length_bytes: 8914 rights: license: CC BY-NC-ND 4.0 license_url: https://creativecommons.org/licenses/by-nc-nd/4.0/ terms: https://narukijima.ai/terms/ attribution: Naru Kijima / narukijima.ai — usage: ai_input: allowed search: allowed quotation: allowed-with-attribution ai_training: reserved-subject-to-existing-rights commercial: requires-separate-permission redistribution: allowed-under-CC-BY-NC-ND-4.0 dataset_inclusion: reserved-subject-to-existing-rights impersonation: prohibited scope: Existing CC license grants and applicable statutory exceptions take precedence. These signals do not record assent or enforce access control. --- # PHPの緊急脆弱性、僕のサイトに影響がなかった理由 PHPの緊急の脆弱性が自分に関係あるかは、持っているサイトがPHPで動いているかで決まり、AIに調べさせた僕の環境は使っていなかったので無事でした。 10月21日、ニュースを開いたら、日本のサービスが次々に止まっていました。PHPに重大な脆弱性が2件見つかって、修正版が出る前後に、あちこちが緊急メンテナンスに入ったんです。 最初に思ったのは「国内サービスは使えねえな」でした。 ただ、落ち着いて自分の環境を調べさせてみると、話はもっと単純でした。僕の環境には、PHPがどこにも入っていなかったんです。だから今回は、何もしなくてよかった。 「PHPって何？」という人も多いと思います。でも、このニュースで自分がやることは、3つのうちどれに当たるかで決まります。順番に書きます。 --- ## 何が起きたのか、ざっくり PHPは、Webサイトの裏側で動くプログラムの言語の一つです。ブログを作るWordPressも、PHPで動いています。日本のネットショップや予約サイト、会員ページにも、かなり広く使われています。 今回見つかった2件は、ログインしなくても、外からサーバーに好きな命令を実行させられる種類のものです。家で言えば、鍵を持っていない人が玄関を開けられる穴に近いです。 しかも21日の午後2時の時点で、[攻撃に使えるコードがネットに出回っている](https://blog.flatt.tech/entry/php2shell)と報告されていました。修正版が出れば、穴の場所も広く知られます。だから各社は、夜中でもサービスを止めてまで急いだわけです。 PHPの開発チームは21日に、[8.5.12、8.4.27、8.3.36、8.2.35という修正版](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/)を出しました。8.1より古いバージョンには、通常の修正版が出ていません。 国内では、[さくらインターネットが21日の23時からレンタルサーバーのPHPを上げる作業を始め、コドモンは全サービスを止め、BASEも緊急停止を出しました](https://rocket-boys.co.jp/security-measures-lab/php2shell-cve-2026-109618-19/)。使っているサービスがメンテナンス中で開けなかった人もいると思います。あれは、サービスの側が穴を塞いでいる時間です。 --- ## 僕のサイトが関係なかった理由 僕は、ITまわりは基本的に海外のサービスを使っています。サイトの置き場所はCloudflareのようなところで、日本のレンタルサーバーはほぼ使っていません。 とはいえ、Cloudflareを丸ごと信用しているわけでもないんです。9月の頭には、Cloudflareは無難でコスパもいいけれど、セキュリティの面は正直心配な部分もあると思っていました。だから、自分しか見ないものは別の場所に分けています。この話は最後に書きます。 ただ、「海外だから大丈夫」は、半分しか当たっていないと思います。今回の穴はPHPそのものにあるので、海外のサーバーでもPHPを動かしていれば当事者です。僕が無事だったのは、国内か海外かではなく、PHPを使っていなかったからでした。 ここが自分でも少し面白いところで、僕がパソコンを触り始めたのは、WordPressで独自ドメインのブログを作るのが流行っていた頃なんです。マナブログを見ながら、右も左も分からない状態でWordPressの設定を体に叩き込みました。 あの頃の作り方をそのまま続けていたら、21日の夜は、たぶん僕もサーバーの管理画面に張り付いていました。 今の僕は、自分でコードを書いていません。全部AIに作らせています。コードを自分で確認する必要もない作り方なので、中身を一行ずつ見ているわけではないんですよね。今回も、自分で確かめたのではなく、AIに調べさせて「PHPは使っていない」と分かりました。 --- ## 自分がどれに当たるかで、やることが変わる このニュースでやることは、立場で3つに分かれます。 ### 使うだけの人 イラストのサイトを見る、コドモンで園に連絡する、ネットショップで買い物をする。こういう使う側の人が、自分の手で直せるものはありません。止まっているサービスは、復旧を待つしかないです。 パスワードを変えるかどうかは、そのサービスから「情報が漏れたおそれがある」という案内が来てからで間に合います。ほかのサービスと同じパスワードを使い回している人だけは、これを機に分けておくと安心です。 ### WordPressでブログやお店のサイトを持っている人 WordPressはPHPで動くので、ここは当事者です。 レンタルサーバーを借りているなら、まずサーバー会社のお知らせを見てください。会社によって動き方が違います。さくらはサーバー側でPHPを上げる作業をしていますが、ロリポップは修正版が出る前に一部の機能を止めた段階で、修正が済んだという意味ではありませんでした。 お知らせを読んだら、自分のサイトのPHPのバージョンを見て、上の修正版の番号になっているかを確かめます。WordPressなら、管理画面の「ツール」から「サイトヘルス」を開いて「情報」のタブに進むと、「サーバー」の欄にPHPのバージョンが出ています。サーバー会社の管理画面でも、たいてい見られます。8.1以前のバージョンのままなら、サーバー会社の案内に沿って新しいバージョンへ切り替えることになります。 VPSなどで自分でサーバーを動かしている人は、待たずに今すぐ上げる側です。 ### AIでサイトやアプリを作った人 いちばん気をつけてほしいのが、僕と同じ、AIに作らせている人です。 自分でコードを書いていないと、PHPが入っているかどうかを、自分では答えられないことがあります。作ったAIに「このプロジェクトとサーバーで、PHPを使っている所はあるか」を聞いて、使っているならバージョンまで出してもらう。僕がやったのも、要はこれです。 Cloudflareは21日のうちに、[無料プランも含めて、この穴を狙った攻撃を止めるルールを入れました](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/)。ただ、これは時間稼ぎで、PHPを上げる代わりにはなりません。 --- ## 答えられないなら、まだ外に出さない 今回のことで、僕は一つ決めました。AIで作ったものは、当分、自分だけのプライベートなプロジェクトとして使います。人に向けて公開するのは、AIのセキュリティの力が、ほぼ安全と言えるところまで来てからにします。 5月の時点で、僕はこう考えていました。動いているように見えるものを作ることと、壊れたときに原因を見て直せることは、まったく違う。自分の能力以上のことをAIに丸投げすると、出てきたものが良いのか悪いのかすら判断できなくなる。 今回の件は、まさにそれでした。PHPが入っているかを聞かれて即答できないものを公開していたら、21日の夜は、何が危ないのかも分からないまま朝を待つことになります。 読む人が使える形にすると、境目は一つです。「これはPHPを使っているか、使っているならバージョンは何か」に、自分かAIで1日以内に答えられて、すぐ上げられるなら、公開していい。答えられないなら、自分だけがログインできる場所に置いておく。 僕のプライベートなサイトも、自分のアカウントでしか入れない形にしてあります。誰でも開ける場所に置かないだけで、狙われる入口はかなり減ります。 変に人間が手を入れて作るより、AIに作らせた方がまだ安全だと僕は思っています。「AIにはAI」です。ただし、しばらくは自分の部屋の中だけで。 --- © Naru Kijima — CC BY-NC-ND 4.0. 利用前に利用規約（https://narukijima.ai/terms/）を確認してください。検索・AIへの入力・出典付き引用を認めます。AI学習・データセット収録には権利を留保し、追加の許諾は行いません。既存のCC BY-NC-ND 4.0による許諾と法定例外は妨げません。なりすましは禁止です。出典表記: Naru Kijima / narukijima.ai — 。検証: https://narukijima.ai/verify/。取得だけで同意を記録する仕組みではありません。 Review the Terms (https://narukijima.ai/terms/) before use. Search, AI input, and attributed quotation are permitted. Rights are reserved for AI training and dataset inclusion; no additional permission is granted for these purposes. Existing CC BY-NC-ND 4.0 grants and statutory exceptions remain unaffected. Impersonation is prohibited. Attribution: Naru Kijima / narukijima.ai — . Verification: https://narukijima.ai/verify/. Fetching alone does not record assent.