# 【解説】PHPに重大欠陥。混乱続く（三上洋）

- Show: 荻上チキ・Session～発信型ニュース・プロジェクト
- Published: 2026-10-21
- Canonical: https://podc.club/episode/1532201544_17921e0364fb.html
- Audio: https://pdst.fm/e/pscrb.fm/rss/p/traffic.megaphone.fm/TBS9644460083.mp3
- Source: この記事は、配信音声の冒頭30分ぶんを機械で文字起こしし、それをもとに編集したものです。番組の公式な要約ではありません。

PHPのコアプログラムに深刻度9.2（10段階）の重大な脆弱性が2件発見され、世界のウェブサイトの約7割に影響が及ぶ事態となった。脆弱性の詳細が掲示板にリークされたことで修正プログラムの公開が前倒しとなり、2026年10月21日の日本時間23時に緊急リリースされた。ITジャーナリストの三上洋さんが、脆弱性の内容・個人の対処法・AIによる脆弱性発見競争という三つの観点から解説した。

## この回が答えていること

### PHPの脆弱性とはどのような問題で、どれほど深刻なのか？

PHPのコアプログラムにデータを強制入力したりメモリをオーバーフローさせたりすることで攻撃者が任意のコードを実行できる脆弱性が2件見つかった。深刻度は10段階評価で9.2と事実上史上最悪のレベルで、2026年10月21日の日本時間23時に修正プログラムが緊急公開された。

### この脆弱性が放置された場合、どのような被害が起きる可能性があったか？

攻撃者がサーバーに侵入し個人情報を盗んだり、ファイルを改ざん・削除したりするリスクがあった。さらにランサムウェアでデータを暗号化して身代金を要求するといった多様な被害につながる恐れもあった。

### 個人ユーザーはこの問題にどう対処すればよいのか？

一般ユーザーは何もする必要はなく、各サービスの対応を待てばよい。ただしWordPressを自分で運営している場合はPHPを最新版に更新する必要がある。また便乗フィッシング詐欺メールが届いても無視すること。

### 修正プログラムの公開がなぜ当初の予定より前倒しになったのか？

脆弱性研究者が掲示板に詳細をリークし、セキュリティ会社が実際に検証して「本物の穴だ」と公表したことで情報が拡散した。攻撃コードが作られるリスクが急騰したため、PHP運営側が修正プログラムの公開を急遽前倒しした。

### AI同士が脆弱性発見で競争していることはどのような意味を持つのか？

Anthropicが「AIで大量の脆弱性を発見できる」と誇示したことにGoogleやOpenAIが追随し、今回はOpenAIのAIがPHPの脆弱性を発見した。AI同士が脆弱性発見で競い合う構図は、守る側にも攻める側にもAI活用を加速させている。

## 本文

## PHPとは何か、なぜ今回の問題が深刻なのか

PHPは企業や個人のウェブサイトのサーバー上で動くプログラムで、世界のウェブサイトの約7割（場合によっては8割）が利用しているとされる。いわば「インターネットの裏側」を支える基盤であり、ここに重大な欠陥があれば影響は広範囲に及ぶ。

2026年10月21日、PHPのセキュリティチームは「極めて重大な脆弱性が2件見つかった」と発表し、同日の日本時間23時に修正プログラムを緊急公開した。脆弱性の深刻度は10段階評価で9.2と、「事実上の史上最悪」に相当する水準だった。省庁や企業はサイバー攻撃防止の予防措置としてウェブサービスの一部を停止。欧米の公的機関でもウェブサイト閉鎖の動きが広がり、米FBIは不正アクセスの兆候があればFBIに通報するよう求めた。

## 具体的な攻撃リスクと被害シナリオ

この脆弱性の仕組みは、PHPのプログラムに対してデータを強制的に入力したりメモリをオーバーフローさせたりすることで、攻撃者が任意のコードを実行できるというものだ。悪用された場合、想定される被害は多岐にわたる。

- **個人情報の窃取**：サービスに登録したユーザー情報が盗み取られる
- **ファイルの改ざん・削除**：サイトが攻撃者の声明文などに書き換えられる
- **ランサムウェア攻撃**：データを暗号化して身代金を要求される

三上洋さんは「乗っ取ったり侵入して情報を抜き取ることも可能になる弱点」と説明した。

## 個人ユーザーはどう動けばよいか

今回の問題で**一般ユーザーが直接的に何か対応する必要はない**。各サイトの運営側が修正対応するのを待つだけでよい。

例外はWordPressなどのブログを自分のサーバーで運営している人だ。この場合はPHPを最新バージョンに更新する必要がある。WordPressは15年ほど前から広く使われているため、自分で運営しているかどうかを確認してほしいという。

また、騒ぎに便乗したフィッシング詐欺にも注意が必要だ。「PHPの脆弱性があるので直してください」といったメールや、添付ファイルでウイルスに感染させようとする攻撃が来ても、個人には直接関係がないため無視してよいとのことだ。

## 修正公開が前倒しになった経緯——掲示板リークの波紋

当初、修正プログラムはより余裕を持ったスケジュールで脆弱性情報と同時に公開される予定だった。ところが脆弱性の詳細内容が掲示板にリークされたことで状況が一変した。

リークしたのは脆弱性研究者とみられる人物で、「これが該当する脆弱性ではないか」と指摘したものだった。ところが一部のセキュリティ会社が実際に検証して「本物の穴だ」と公表してしまい、情報が一気に拡散した。攻撃コードが作られるリスクが高まったとして、PHP運営側（オープンソースの運営母体）は急遽、日本時間10月21日23時に修正プログラムを前倒しリリースした。最初にリークを投稿した研究者はXで強い批判を浴びているという。

## AI同士のサイバー攻防という新たな構図

今回の脆弱性を発見したのはOpenAIのAIだった。背景には、AI各社による「脆弱性発見競争」がある。

三上さんによれば、火付け役はAnthropicだ。AnthropicはAIで大量の脆弱性を発見できるとその能力を誇示しつつ「公開すれば問題になるので非公開にする」と表明し、一種のプロモーション的な形で業界に印象を与えた。これをきっかけにGoogleもOpenAIも同様の取り組みを進め、今回はOpenAIのAIがPHPの脆弱性を発見した。

三上さんは「脆弱性を見つけるのもAI、攻撃するのもAI、という時代になりつつある」と指摘する。人間の及ばないスピードと規模でサイバー攻撃が行われる中、守る側もAIの活用をさらに進めていく必要があると締めくくった。

## この回の要点

- 世界のウェブサイト約7割が使うPHPに深刻度9.2の脆弱性が2件発見され、日本時間2026年10月21日23時に緊急パッチが公開された
- 一般ユーザーの対応は不要だが、WordPressを自分で運営している場合はPHPの即時アップデートが必要
- OpenAIのAIが今回の脆弱性を発見した背景にはAI各社の「脆弱性発見競争」があり、サイバーセキュリティはAI同士の攻防へと移行しつつある