 |
|
|
||||||||
|
いまさら聞けない、PHPの重大な脆弱性ニュース。絶対に気を付けてほしい3つの事
──外注している会社も、自社で運用している会社も。経営者が出す指示と、この先のシナリオ
みなさん、こんにちは。ジャパンフードカンパニーの南口です。
昨今、ニュースでよく聞く「PHP（ピーエイチピー）」。AIが賢くなって、ホームページに関していろいろとリスクが大きくなっている雰囲気はつかんでいながらも、実際にどんなことが起こっており、自社はどうすればいいのか、が重要ですよね。
そこで、本コラムでは、PHPニュースがどういったことなのかを専門用語をできるだけ用いず解説し、その上で、自社がどうしたらいいかをご紹介します。
掲載時点で状況が変わっている可能性があるため、随時情報のアップデートは必要ですが、やるべきことは同じなので、お役立ていただければ幸いです。
何が起きたのか
ホームページの裏側には、お店の裏口のように、普段はお客様が目にしない出入り口があります。PHPは、その裏口の「鍵」にあたる部品です。今回、次のことが起きました。
・鍵のメーカーが「特定の手順を使えば、外から鍵を開けられる型がある」と発表しました
・新しい鍵（修正版）が配られました
・ただし、古い型の鍵には、交換品が出ません
・「開け方」を書いた説明書が出回り、実際に開けようと試す人も見つかっています
裏口を開けられると、店の中で何でもできてしまいます。ホームページの場合は、書き換えられたり、乗っ取られたりするおそれがある、ということです。ここまでが全体像です。
少し具体的に
・10月21日、PHPを作っている開発元が「重大な欠陥が2件見つかった」と発表しました。外部の第三者が、ホームページの中で好きなプログラムを勝手に動かせてしまう（＝乗っ取りにつながる）おそれがある、という内容です
・翌22日には、日本のセキュリティ情報の窓口であるJPCERTコーディネーションセンター（JPCERT/CC）が注意を呼びかけ、その後2回、情報を更新しています。「実際に悪用しようとする通信が確認された」「やり方を示したプログラムが多数公開されている」という内容です
・欠陥を直した新しい版（修正版）も出ています。PHPには「8.3」「8.4」のような版があり、それぞれに「8.3.36」のような細かい数字が付いています。この細かい数字が、8.5.12／8.4.27／8.3.36／8.2.35より小さい版が対象です。さらに古い「8.1以前」には、通常の修正版が出ません
・実際の被害も報告されました。10月29日の更新で、ネットの出入口を守る機器（ファイアウォール）など25台が乗っ取られ、日本にある機器も含まれると紹介されています（Dream社の報告）。ホームページの被害ではありませんが、同じ欠陥が実際の侵入に使われた、ということです
自社のホームページが影響を受けるかどうかは、PHPで動いているか、そのバージョンはいくつか、で決まります。WordPressで作ったサイトや、ネットショップのシステムの多くはPHPで動いています。
何をすべきか①：ホームページの保守を外注している会社
経営者が自分で調べる必要はありません。担当の制作会社・保守会社に、次のことを依頼してください。
・御社が管理している弊社のホームページについて、PHPのバージョンを教えてもらい、対応をしてもらうこと
・作業前（Before）と作業後（After）の作業報告書をもらう（そこには、実際に作業した内容やバージョン名を詳細に記載してもらう。これまでほったらかしだったかと思うので、最新の状態を残しておく。その内容についてご自身が理解できなくてもOK。AIに聞けばある程度は分析してくれます）
回答や報告書は、メールなどの文書で残してください。口頭だけだと、後で「聞いていない」「言っていない」になりやすいためです。なお、レンタルサーバー事業者がPHPを更新する契約もありますが、どこまで任せているかは契約次第です。「業者がやってくれているはず」と思い込まず、必ず確認してください。
今回の騒動の中で、何も対応してくれていなければ、そもそも保守管理としての費用を支払う相手として疑問が生じます。
何をすべきか②：自社で運用している会社
社内の担当者には、次のように指示してください。
・自社のホームページとネットショップが、PHPで動いているか、一覧にしてください（サーバーの場所も書く）
・それぞれのPHPのバージョンを調べ、修正版以降かどうかを○月○日までに報告してください。パソコン上で調べたバージョンと、実際にサイトを動かしているバージョンが別のことがあるので、サーバー側で確認してください
・更新前に、バックアップを取り、テストをしてから本番に反映してください（JPCERT/CCも、十分なテストの上で速やかに適用するよう案内しています）
・更新の前に、侵害の痕跡の確認を行ってください（確認する3点は、JPCERT/CCの注意喚起の「侵害調査」の項目に書かれています。出典を参照）
・今のプラグインやシステムのうち、新しいPHPで動かないものがあれば、リストにして報告してください
担当者だけで対応が難しい場合や、社内に詳しいメンバーがいない場合は、一時的に外部に頼むのも一案です。
今後、何が起こり得るか（シナリオ）
以下は、確認できた事実から考えた可能性であり、起こる確率は示せません。これは類推です。
1. 早めに更新した場合：更新して、侵害の痕跡もなければ、通常の運用に戻ります。いちばん費用と手間が少ない道です
2. 後回しにした場合：実証コードの公開と、悪用を試みる通信の観測が、すでに報告されています。「狙われる条件がそろっている」状態が続きます。サイトの書き換えや乗っ取りに至る可能性があります
3. 古いバージョンを使い続けた場合：8.1以前には、通常の修正版が出ません。8.2も、PHP公式のサポート表で、セキュリティ修正の終了が2026年12月31日と定められています。年明け以降に見つかる脆弱性は、修正が届きません。移行は、遅かれ早かれ避けられません
4. 追加の脆弱性が出た場合：10月23日には、別の欠陥（CVE-2026-115560）が追加で公表されました。今後も続報が出る可能性があります。そのたびに慌てなくて済むよう、「更新を誰がいつやるか」を決めておくことが備えになります
5. すでに侵害されていた場合：JPCERT/CCは、関連ログなどの証拠を保全したうえで、影響範囲の調査、該当システムの隔離などを行うよう案内しています。経営者は、サイトを一時停止するか、お客様へどう伝えるかを判断することになります。これは類推です
さいごに、絶対に気をつけてほしいこと：不安につけ込む営業と、詐欺メール
大きなセキュリティのニュースが出たあとは、その不安につけ込んだ連絡が増えます。「PHP」「セキュリティ」という言葉を使った、次のような連絡に注意してください。
・「PHPが危ない。うちなら守れる」と電話や訪問で迫り、高額なセキュリティ対策や、リース契約をすすめる営業
・「取引先の振込先が変わりました」というメール。警察庁は、取引先などになりすました偽メールで、攻撃者の口座へお金を振り込ませる手口を「ビジネスメール詐欺」として注意しています。多くは海外の口座を指定され、いったん送金すると回収は非常に困難だとされています
・「ホームページの脆弱性が見つかりました。こちらから確認を」などと書かれた、リンクつきのメール（不要なクリックを促すもの）
こうした連絡は、経営者だけでなく、従業員にも届きます。次の4つを、社内で徹底してください。
1. 見知らぬ事業者から届いたURLや添付ファイルは、絶対にクリックしない。従業員にも周知し、少しでも迷ったら、開く前に社内で共有する
2. 振込先が変わったという連絡は、そのメールに返信せず、以前から知っている電話番号で、本人に確認する（警察庁・各県警の注意喚起でも、メール以外の方法での確認が挙げられています）
3. 電話やメールでの勧誘で、その場で契約しない。契約書面を受け取り、総額・期間・解約条件を確認する。法人の契約は、個人向けのクーリング・オフの対象にならないことが多いため、契約前の確認がいっそう大切です
4. 信頼できる業者を選び、ともに対応していく体制を、今のうちに整える。「誰が窓口か」「どの連絡経路か」「更新作業は誰がやるか」を決めておけば、見知らぬ業者に頼る必要がなくなります
まだまだ問題が表面化し始めたフェーズで、今後、ますます情報漏洩や脆弱性のニュースは増えてくることでしょう。
ただ、いちばん恐ろしいのは「乗っ取られる」ことです。知らなかったでは済まされない事態になりかねません。そのため対応は迅速に行いましょう。
出典（一次情報を優先して掲載）
・JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開・29日更新）：https://www.jpcert.or.jp/at/2026/at260033.html
・The PHP Group セキュリティ勧告（2026年10月21日、JPCERT/CCの注意喚起から引用）：https://www.php.net/archive/2026.php#2026-10-21-5
・PHP公式 サポートバージョン表：https://www.php.net/supported-versions.php
・Dream「Chained PHP2Shell Exploit Roots 25 Servers」（JPCERT/CCの注意喚起から引用）：https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers
・マイナビニュース「PHPの脆弱性悪用で日本含む4カ国のサーバ25台が侵害か、JPCERT/CCが追加警告」（2026年10月29日）：https://news.mynavi.jp/techplus/article/20261029-5217835/
・＠IT「EOLのPHP 7.4、8.0、8.1にも異例のパッチ」（2026年10月23日）：https://atmarkit.itmedia.co.jp/ait/articles/2610/23/news035.html
・警察庁「ビジネスメール詐欺（BEC）対策」：https://www.npa.go.jp/bureau/cyber/countermeasures/bec.html
・IPA「ビジネスメール詐欺（BEC）対策」：https://www.ipa.go.jp/security/bec/about.html
「何と言えばいいか分からない」と思ったら、まず無料相談を
弊社のDXコンシェルジュには、セキュリティチェックと、ツール選定のサポートが含まれています。「制作会社への確認文を作りたい」「社内への指示の出し方を整理したい」といった段階から、30分の無料相談でお答えします。
▼DXコンシェルジュの詳細・30分無料相談はこちら：https://jfood-c.jp/dx-concierge/
被害が出てから動くのではなく、今日1通のメールで確認する。それが、経営者にできる最も確実な対策です。
--------------------------------------------------------------------------
ジャパンフードカンパニー（ＪＦＣ）
「海外進出」「デジタルマーケティング」「Ｅコマース」の３軸を強みとし、日本の中小食品メーカーの売上アップを専門に支援しています。
画一的な提案ではなく、各企業の個性を最大限に活用した「成長し続ける企業作り」を、戦略立案から実行まで伴走型でトータルサポートいたします。
■主な支援内容
・食品ＥＣ・業務用ネット通販の構築および売上アップ支援
・営業ＤＸ・インサイドセールス（非対面営業）の導入
・海外販路開拓（DtoGモデル）および輸出実務サポート
・社内DXサポート：我が社のDXコンシェルジュ
中小食品企業の業績アップに関するお悩みは、ジャパンフードカンパニーにお気軽にご相談ください。
食品EC特設サイト：https://jfood-c.jp/food-ec/
-------------------------------------------------------------------------
|
 |
