2026年10月21日、世界中のWebサイトやオンラインサービスで、緊急メンテナンスやサービス停止が相次ぎました。
原因は、世界中のWebシステムで利用されているプログラミング言語”PHP”に発見された、極めて深刻なセキュリティホールです。
今回の問題は”PHP2Shell”と呼ばれ、悪用されると、攻撃者がログインすることなく、外部からサーバー上で不正なプログラムを実行できる危険性があります。
その深刻度は10点満点中9.2。極めて危険な水準です。
実は、この問題には、発見からパッチ公開までの経緯に、幾つもの注目すべきできごとがありました。
□2024年：すでに問題の兆候が発見されていた
PHPのメモリ管理に関する問題は、2024年のセキュリティ監査などですでに認識されていました。
しかし、具体的な攻撃経路の特定や安全な修正が難しく、対応が長期化していたとされています。
つまり、今回の問題は突然発生したものではありませんでした。
□2026年8月：AIを活用して重大な脆弱性を特定
2026年8月、OpenAIの支援を受けたセキュリティ研究者や、サイバーセキュリティ企業Wizが、AIを活用した分析によって重大な脆弱性を発見し、PHP開発チームへ報告しました。
特にWizは、WordPressやDrupalなどのWebシステムで、認証なしに遠隔からプログラムを実行できることを実証しました。
AIがソフトウェアの重大な欠陥を発見する時代になったことを象徴するできごとです。
□10月17日：パッチ公開前に攻撃が始まっていた
さらに、驚くべきことに、Amazonのセキュリティ監視システムは、10月17日の段階で、この脆弱性を狙った攻撃の試みを観測していました。
これは、一般向けの修正パッチが公開される4日前です。
一部の攻撃者が、公式発表前から脆弱性を把握していた可能性があります。
□10月21日未明：情報流出でパッチ公開を前倒し
当初、PHPの修正パッチは10月22日に公開される予定でした。
ところが、脆弱性に関する情報や攻撃実証の内容が公開前に外部へ流出したため、開発チームは公開を1日前倒しする緊急対応を決定しました。
セキュリティ上の欠陥は、修正方法が広く行き渡る前に攻撃手法が知られると、被害が急速に拡大するおそれがあります。
□10月21日：緊急パッチを公開、世界中でサービス停止
□10月21日、PHPの公式修正版が公開されました。
対象となった修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。
これに伴い、日本でもpixiv、BASEなどのオンラインサービスを始め、金融機関やさまざまな企業で緊急メンテナンスが行われました。
ヨーロッパでも、政府機関、病院、教育機関などが相次いでWebサイトを停止しました。
多くは犯罪によってシステムが破壊されたわけではなく、不正侵入を防ぐための予防的な措置でした。
□10月22日：世界規模の攻撃が明らかに
CloudflareやAmazonなどのセキュリティ企業は、今回の脆弱性を狙った攻撃が急増したことを報告しました。
Check Pointの観測では、世界の組織の約10%が攻撃試行の対象になったとされています。
ただし、これは攻撃を受けようとした組織の割合であり、実際に侵入された組織の割合ではありません。
10月23日現在、今回の脆弱性を原因とする大規模な個人情報窃取や金銭被害について、具体的に確定した公表事例は、確認できた情報の範囲では見つかっていません。
□今回の事件が示した3つの問題
第一に、広く普及したソフトウェアの安全性です。
PHPは世界中のWebサービスで使用されています。そのため、一つの重大な欠陥が、金融、行政、医療、商業サービスなど、さまざまな分野に影響を及ぼします。
第二に、AIとサイバーセキュリティの関係です。
今回、AIは重大な欠陥の発見に貢献しました。
しかし、同じ技術が攻撃者にも利用されれば、脆弱性の発見から攻撃コードの開発までの時間が、更に短縮される可能性があります。
第三に、パッチ公開だけでは問題が終わらないことです。
修正プログラムが公開されても、すべてのWebサーバーに直ちに適用されるわけではありません。
また、パッチ公開前に不正侵入されていた場合には、更新するだけで被害が解消するとは限りません。
□最後に
今回のPHP2Shell問題は、2024年に認識された欠陥の兆候から、2026年8月のAIによる重大脆弱性の特定、10月17日の攻撃観測、10月21日の緊急パッチ公開、そして世界規模のサービス停止へと発展しました。
今回のような事態は、クラウドサービスや情報セキュリティ企業の信頼性を考える上でも、大きな教訓になるでしょう。
重要なのは、セキュリティホールが存在しないことだけではありません。
問題をどれだけ早く発見し、修正し、利用者への影響を最小限に抑えられるか。
今後は、こうした危機対応能力も、企業の信頼性を判断する重要な基準になると思います。
そして、今回の事件で本当に犯罪被害が発生していなかったのかについては、今後の調査結果を注意深く見守る必要があります。
【広告】アマゾン
テクノロジカル・リパブリック 国家、軍事力、テクノロジーの未来
アレクサンダー・Ｃ・カープ (著), ニコラス・Ｗ・ザミスカ (著), 村井章子 (翻訳)
コメントを残す