「世界のWebサイトの7割が使うPHPに重大な欠陥」と聞けば、インターネットの7割が今にも倒れそうに見えます。数字が大きく、欠陥は最高レベルの「重大」。心配になるのは当然です。

この7割が示すのは、PHPがどれほど広く使われているかまでです。そこから「どのサーバーが今すぐ危ないのか」を知るには、版や動かし方、更新状態を一台ずつ重ねて見る必要があります。今回の本題は、その絞り込み方です。

プログラミング言語「PHP」に重大な欠陥発見…乗っ取りや個人情報漏えいの恐れ すでに予防的に一部停止 世界のWebサイト7割使用か 政府が迅速対応呼びかけ | TBS NEWS DIG (1ページ)
プログラミング言語「PHP」に重大な欠陥発見…乗っ取りや個人情報漏えいの恐れ すでに予防的に一部停止 世界のWebサイト7割使用か 政府が迅速対応呼びかけ | TBS NEWS DIG (1ページ)

世界中のウェブサイトで使われているプログラミング言語に重大な欠陥が見つかりました。不正アクセスが増加する可能性もあり、政府も迅速な対応を呼びかけています。政府の国家サイバー統括室などが注意喚起をおこ… (1ページ)

今回の登場人物 ​

  • PHP: ウェブサイトの裏側で、入力の処理やデータベースとのやり取り、画面の生成などを担うプログラミング言語。ブログから企業システムまで、かなり広く使われています。
  • 脆弱性: ソフトウェアにある安全上の弱点。今回公表されたのはCVE-2026-109618とCVE-2026-109619の2件で、いずれも深刻度はCVSS v4.0で9.2です。
  • RCE: Remote Code Execution、遠隔コード実行。攻撃者がネット越しに、対象サーバーで不正な命令を動かせる状態を指します。今回の2件は、認証なしでRCEにつながりうるとされています。
  • PHPの実行方式: ウェブサーバーがPHPへ仕事を渡す仕組み。Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなどがあります。PHP公式はどれも更新対象とし、とくにmod_phpの危険が高いと説明しています。
  • W3Techs: ウェブサイトが使う技術を継続調査するサービス。「約7割」の元になる統計は、サーバー側の言語を判別できたサイトのうちPHPを使う割合です。

何が起きたか ​

TBS NEWS DIGは10月21日、PHPに重大な欠陥が見つかり、世界各地でウェブサイトを予防的に止める動きが出ていると報じました。PHPの開発チームも同日、2件の脆弱性を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、直ちに更新するよう呼びかけています。

2件は、メモリー不足時の処理と、前の通信処理で使った内部状態が次の処理へ残りうる問題です。悪用されると、ログイン情報を持たない攻撃者でも、PHPを動かすサーバー上で不正な命令を実行できる可能性があります。

PHP公式の警告はかなり広い範囲を対象にしています。ウェブからの要求を処理するすべてのPHP環境がリスク確認の対象で、特定のブログソフトや業種に話を狭められません。公式が完全な解決策として示すのは、修正版への更新です。数字は丁寧に読み、更新は急ぐ必要があります。

ここが本題 ​

PHPが広く使われている割合から、今回実際に危険になるシステムの範囲はどう絞られるのでしょうか。

短く言えば、普及率が測るのはPHPを使っているサイトの広さです。危険範囲を決めるには、どのPHPが、どの版・構成・更新状態で、ウェブから要求を受けるかまで見ます。自動車の普及台数だけ数えても、いま整備が必要な車の台数までは出ませんよね。今回も、分母のあとに点検項目が続きます。

「約7割」の分母 ​

W3Techsの10月21日時点の調査では、PHPは、サーバー側のプログラミング言語を判別できたウェブサイトの69.3%で使われていました。たしかに「約7割」です。

大事なのは、「サーバー側の言語を判別できたサイトのうち」という部分です。世界中のサーバーを一台ずつ開けて数えた値ではありません。W3Techsは意味のある内容や機能を持つサイトを対象にし、同じドメインのサブドメインは原則として一つのサイトにまとめます。一方、一つのサイトが複数のサーバーや複数のPHP環境で動くこともあります。

つまり、69.3%はPHPの存在感を示す統計です。次の情報までは含んでいません。

  • 動いているPHPの正確な版
  • 修正プログラムをすでに適用したか
  • OSの提供元が修正だけを古い版へ移植したか
  • PHPをどの実行方式で動かしているか
  • その環境がインターネットから要求を受けるか
  • 一つのサイトの背後に何台のサーバーがあるか

この統計から読めるのは、「PHPはものすごく広く使われていて、確認作業の母数が大きい」というところまでです。全ウェブサイトの69.3%がいま攻撃可能、という計算には使えません。69.3という数字に、普及率も未修正率も攻撃成功率も全部やらせたら、さすがに働かせすぎです。

危険範囲は段階で絞る ​

実務では、少なくとも四つの段階で見ます。

一段目は、PHPを使っているか。静的なHTMLだけのサイトや、別の言語だけで動く仕組みなら、今回のPHP脆弱性の直接の対象から外れます。

二段目は、ウェブからの要求をPHPで処理しているか。PHPはウェブ以外の定期処理や社内用スクリプトにも使えます。PHP公式が今回「リスクあり」として列挙したのは、PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeedなど、ウェブ要求を処理する環境です。

三段目は、修正済みか。PHP 8.2系なら8.2.35、8.3系なら8.3.36、8.4系なら8.4.27、8.5系なら8.5.12が修正版です。これらより前の版をそのまま動かしている環境は更新が必要です。PHP 8.1以前はPHP本体の通常のセキュリティーサポートを終えています。ただしLinuxディストリビューションや長期サポート事業者が修正を移植している場合があるので、表示された版番号だけで決めず、提供元の告知まで確認します。

四段目は、実行方式やアプリの条件です。PHP公式は、mod_phpではアプリ本体の処理が始まる前に認証なしの要求で攻撃を成立させられることを確認し、最も危険が高いとしています。PHP-FPMについても影響を受けうるものの、成立のしやすさはアプリの動作、拡張機能、設定、同じ処理担当が続けて通信を受けるかなどで変わります。

PHP-FPMも更新対象です。実行方式によって変わるのは、確認済みの攻撃経路や成立条件、成功しやすさ。危険の有無を二色で塗るより、「点検は広く、事情は一台ずつ」と読んだほうが正確です。

WordPressの数とも一致しない ​

PHPの話題でWordPressがよく出るのは、WordPressがPHPで動くからです。ただし、今回直すのはWordPress本体ではなく、その下で動くPHPです。WordPressの公式発表も、WordPressの更新は予定しておらず、サーバー側のPHPを更新するよう案内しています。

ここで、サイトを持つ人の立場によって作業が分かれます。自分でサーバーを管理しているなら、PHPの版、導入元、実行方式を確認して更新する。レンタルサーバーやマネージドサービスに任せているなら、事業者が修正を適用したかを告知や管理画面で確かめる。WordPressの管理画面だけ更新して「はい終了」とすると、直す階を一つ間違えます。マンションの壁紙を替えて、地下の配管工事も済んだ気になるようなものです。

PHPを使うと見えるサイトでも、すでに修正版へ更新していれば、今回の2件について「未修正のまま」という範囲からは外れます。同じ見た目のウェブサイトでも、裏側の更新状態で結論が変わります。店の看板を眺めても、バックヤードの点検記録までは読めません。

一時停止の意味 ​

各国の機関や企業によるサイトの一時停止には、更新が終わるまでウェブ要求を受けないようにする予防措置も含まれます。停止の事実だけで、すでに侵入されたとは判断できません。

PHP公式は、設定変更や通信量の制限で特定の攻撃経路を狭める方法も示しています。それでも、完全な対策ではないと繰り返しています。更新できない間に公開を止める判断が出るのは、このためです。店に泥棒が入ったと確定したから閉める場合もあれば、鍵の交換中なのでいったん客を入れない場合もある。今回報じられた停止には、後者が含まれます。

したがって、ニュースを読む側も「停止したサイト数＝侵害されたサイト数」と数えないことが大切です。公表されているのは脆弱性と予防対応であり、世界全体の侵害件数や被害率は、この普及率からは算出できません。

日本の読者に何が関係するか ​

自分でサイトを運営していなくても、PHPは店舗、学校、自治体、予約、会員ページなどの裏側に入り込んでいます。影響範囲を正しく読むことは、「ネット全体が終わる」と怖がりすぎるのを防ぐだけでなく、「うちはWordPressを更新したから大丈夫」と確認を打ち切るのも防ぎます。

管理者が見る順番は明快です。PHPを使うか、ウェブ要求を処理するか、どの提供元のどの版か、修正は適用済みか。古い版なら、提供元の修正移植があるか。それがなければ、サポート中の版へ移せるか。更新できない間は公開を止める必要があるか。人気ランキングの数字より、自分のサーバーの答えのほうが先です。

利用者としては、停止中のサイトを見て「攻撃された」と断定しない。一方で、復旧を急ぐ事業者が出す偽の案内や便乗した詐欺にも注意する。正規のサイトや事業者の公式窓口から状況を確認するのが基本です。

まとめ ​

PHPの約7割という普及率は、今回の問題が一部の特殊な環境だけに限られず、確認対象の非常に広い脆弱性だと教えてくれます。ただし、その数字は被害率でも、未修正率でも、攻撃成功率でもありません。

実際の危険範囲は、PHPを使うサイトのうち、ウェブ要求を処理する環境で、影響を受ける版を動かし、修正や提供元のバックポートをまだ適用していないものへ絞られます。そのうえで実行方式、設定、アプリの動作により、確認済みの攻撃経路や成立しやすさが変わります。

母数は大きく、PHP公式の対象範囲も広い。そこで各管理者が自分の環境を確認し、修正版へ更新する必要があります。条件を丁寧にたどれば、危険の範囲を正確に見ながら、大きな数字を作業手順へほどけます。怖さの正体と、いまやることが具体的になるんです。

Sources ​