総理も緊急対応を呼びかけた「PHPの脆弱性」って何？ 初心者にもわかるように解説

＞この記事のダイジェスト版はPodcastでも視聴いただけます。

2026年10月21日の夜、高市総理がXで、あるソフトウェアの重大な問題について緊急対応を呼びかけました。

そのソフトウェアの名前は「PHP（ピー・エイチ・ピー）」。

総理大臣が、個別のプログラミング技術について直接注意を呼びかけるという、かなり異例の出来事です。

実際、この日の夜11時を前に、ネットショップやゲームなど、さまざまなウェブサービスが緊急メンテナンスに入りました。

私が普段利用しているサービスの中にも、停止していたものがありました。

「いったい何が起きているの？」

「そもそもPHPって何？」

「自分が使っているサイトは大丈夫なの？」

今回は、こうした疑問について、なるべく難しい言葉を使わずに説明してみたいと思います。

少しややこしい仕組みなので、身近な銀行のATMに置き換えて考えてみましょう。

※この記事は2026年10月22日時点の情報をもとにしています。ATMは仕組みを説明するための例えであり、実際のATMに今回の問題が見つかったわけではありません。

そもそもPHPって何？

PHPとは、プログラミング言語の一つです。

プログラミング言語というのは、簡単に言えば、コンピューターに仕事をさせるための指示を書く言葉です。

例えば、銀行のATM。

カードを入れて暗証番号を入力し、引き出したい金額を指定すると、ATMはさまざまな処理を行います。

暗証番号が正しいか確認する。

口座に十分なお金があるか調べる。

引き出しが可能なら、指定された金額を払い出す。

こうした一連の仕事は、コンピューターのプログラムによって動いています。

PHPも同じように、コンピューターに仕事をさせるための言葉です。

特にPHPは、ウェブサイトの裏側で行われる処理に広く使われています。

例えば、通販サイトで注文履歴を表示したり、会員情報を確認したり、問い合わせフォームから送信された情報を処理したり。

私たちが普段何気なく使っているウェブサイトの裏側で、こうした仕事をこなしているわけです。

ちなみに、PHPが登場したのは1995年。

30年以上の歴史があるプログラミング言語です。

一部では「PHPはオワコン」なんて言われることもあります。

確かに、最近ではTypeScript（タイプスクリプト）など、ほかのプログラミング言語を使ったウェブ開発も広がっています。

しかし、だからといってPHPが使われなくなったわけではありません。

ブログや企業サイトで広く使われているWordPress（ワードプレス）も、PHPを使って動いています。

世界中のウェブサイトを支える、今でも現役の技術です。

そして今回の問題は、PHPが古い技術だから起きた、という単純な話でもありません。

新しい技術であっても、こうした問題が見つかることはあります。

ウェブサイトの仕組みをATMで考えてみる

ここで、もう少しウェブサイトの仕組みを説明します。

銀行のATMでは、利用者が画面を操作すると、その指示に従って裏側のコンピューターが仕事をします。

ウェブサイトも基本的には似ています。

私たちはスマホやパソコンのブラウザで、ウェブサイトを開きます。

ブラウザとは、ChromeやSafariなど、ウェブサイトを見るためのアプリのことです。

例えば通販サイトで「注文履歴を見る」というボタンを押すと、ネットの向こう側にあるコンピューターが注文情報を探し、その結果を画面に返してくれます。

このネットの向こう側で仕事をしているコンピューターが「サーバー」です。

そしてPHPは、サーバーでどんな仕事をするのか、その手順を書くための言葉です。

ただし、書かれたプログラムだけでは仕事はできません。

PHPで書かれた指示を読み取り、実際に処理するためのソフトウェアも必要になります。

今回、重大な問題が見つかったのは、このPHPのプログラムを動かす仕組みの部分でした。

ATMに例えるなら、利用者が操作する画面ではなく、裏側のコンピューターの処理に重大な不具合が見つかったようなものです。

今回の「脆弱性」は何が危険だったのか？

ニュースで出てくる「脆弱性（ぜいじゃくせい）」という言葉。

これは、簡単に言えば、ソフトウェアにある、悪用されるおそれのある弱点のことです。

今回、PHPには重大な脆弱性が二つ見つかりました。

一つは、コンピューターが作業に使うメモリが足りなくなったときの処理に関する問題。

もう一つは、前の処理で使っていた古い情報が、内部に残ってしまう問題です。

どちらもコンピューターの内部に関わる、かなり専門的な問題です。

ここでは細かい仕組みより、その結果として何が起きる可能性があったのかを知っておけば十分でしょう。

今回の問題を悪用されると、外部の攻撃者がサーバー上で不正なプログラムを実行できてしまうおそれがあります。

しかも、特定の環境では、ログインすら必要ありません。

ATMで考えてみましょう。

通常、お金を引き出すにはカードや暗証番号が必要ですよね。

ところが、内部のシステムに重大な不具合があって、カードも暗証番号も持っていない人が、外部からコンピューターに勝手な処理をさせられるとしたら。

これは非常に危険です。

今回のPHPの問題も、危険性のイメージとしては、こういう話です。

もちろん、すべてのPHPサイトが同じように攻撃できるわけではありません。サーバーの設定や使い方によって危険性は異なります。

それでも、情報を盗まれたり、ウェブサイトを書き換えられたりする可能性があるため、急いで修正する必要がありました。

そして、もう一つ厄介なのが、サイトのパスワードを複雑にしていても、それだけでは防げないという点です。

今回の問題では、サイト側がログインを確認するより前に攻撃が成立するケースも確認されています。

いくらログインの仕組みを厳しくしていても、その手前に弱点があれば意味がありません。

だからこそ、PHPを動かすソフトそのものを修正する必要があるのです。

なぜ、こんなに突然の緊急対応になったのか？

今回のニュースで、個人的に気になったのがここです。

なぜ、10月21日になって突然、世界中のウェブサイトが緊急対応に追われることになったのでしょうか。

実は今回の脆弱性、10月21日になって突然見つかったものではありません。

しかも、その発見や危険性の調査には、あのChatGPTで知られるOpenAIも関わっていました。

話を少しさかのぼります。

2024年には、すでに問題の兆候があった

PHPの開発チームは、今回の問題につながる不具合の兆候を2024年の時点で把握していました。

ただ、当時は実際にどこまで悪用できるのか、はっきりしていませんでした。

修正方法の検討も進められましたが、PHPは非常に多くのサービスで使われています。

一つの問題を直したことで、別の機能が動かなくなるような事態は避けなければなりません。

修正に伴う影響が大きく、対応はなかなか進まなかったそうです。

2026年8月、危険性が明らかに

状況が大きく変わったのは、2026年8月11日。

セキュリティ企業Califの研究者が、PHPに重大な弱点があることを報告しました。

OpenAIも独立して同じ原因の問題を報告し、その後、Wizという別のセキュリティ企業からも攻撃につながる情報が報告されています。

PHPの安全性を調べる取り組みにはAIも活用されており、OpenAIもその一翼を担っています。

これによって、以前から知られていた問題が、実際には外部から不正なプログラムを実行できるほど危険なものだと明らかになりました。

ここからPHPの開発チームやセキュリティ企業などが協力し、修正作業を進めることになります。

ただし、こうした脆弱性は、発見したからといって、すぐに詳しい情報を公開するわけではありません。

修正される前に弱点が広まれば、攻撃者に悪用される可能性があるからです。

そこで、関係者の間で情報を共有し、修正版の準備を進めていました。

当初、修正版の公開は\\10月22日夜11時（日本時間）\\に予定されていました。

ところが、ここで予定外の出来事が起こります。

公開前に情報が広まってしまった

日本時間の10月21日未明、脆弱性に関する情報がインターネット上に出回り始めました。

最初に広まったのは、脆弱性を識別する番号などで、詳しい攻撃方法ではありませんでした。

しかし、その後、調査に関わっていた企業が、攻撃の実証動画を誤って公開してしまいます。

動画は削除されたものの、コピーがSNSなどで拡散。

さらに、修正済みのソフトウェアが予定より早く公開される出来事も起こりました。

修正前のソフトと修正後のソフトを比較されると、攻撃者が弱点を調べる手がかりになってしまう可能性があります。

こうして、計画的に修正を公開するはずだった流れが崩れてしまったわけです。

PHPの開発チームは、公開予定を1日前倒しすることを決定しました。

10月22日夜11時の予定が、10月21日夜11時に。

そのため、世界中のウェブサイト運営者が、急いで対応しなければならない状況になったのです。

何の準備もなく、突然大問題が発見されたわけではありません。

以前から進められていた修正作業が、情報の拡散によって急きょ前倒しされた、というのが今回の経緯です。

ちなみに、Amazonのセキュリティチームは、10月17日の時点で今回の脆弱性を悪用しようとする試みを確認しています。

つまり、修正版の公開より前から、すでに攻撃を試みる動きがあったということです。

実際にどこまで攻撃が成功したかについては、個別の調査が必要ですが、決して軽視できない状況だったわけです。

参考：AWS公式：PHP2Shellの公開前から確認された攻撃の試み

サイトを止めるのも、安全を守るための判断

こうして迎えた10月21日の夜。

修正版の公開を前に、国内でもさまざまなウェブサイトやサービスが緊急メンテナンスに入りました。

ネットショップやゲーム、各種ウェブサービスなど、利用できなくなったサービスは少なくありません。

その一方で、10月21日の午後10時前、高市総理がXで緊急の対応を呼びかけました。

その中では、修正プログラムをすぐに適用することが難しい場合、ウェブサイトなどを一時的に停止させることも、危険性を下げるための有効な方法の一つだと説明されています。

サイトを止める。

言葉にするのは簡単ですが、実際には大きな判断です。

例えばネットショップなら、サイトが停止している間は商品を販売できません。

サービスの利用者には迷惑がかかりますし、問い合わせも増えるでしょう。

それでも、危険な状態のまま運営を続けるより、安全を優先したほうがいい場合もあります。

ATMに例えるなら、内部のシステムに重大な問題が見つかったので、修理が終わるまで利用を停止するようなものです。

利用者は不便になりますが、被害が出る前に止めることには意味があります。

そして、今回もう一つ注目したいことがあります。

総理の投稿が、現場の判断を後押しした

ウェブサイトの運営には、エンジニアだけでなく、上司や経営者、制作を依頼しているクライアントなど、さまざまな人が関わっています。

現場のエンジニアが、

「重大な脆弱性が見つかったので、安全のためサイトを停止したいです」

と提案しても、簡単に了承されるとは限りません。

「本当に止める必要があるの？」

「売り上げに影響が出るんじゃない？」

「何か問題が起きてからではダメなの？」

そんなやり取りが発生することも考えられます。

しかし今回は、総理大臣自らが、一時停止も有効な対策だと発信しました。

これによって、エンジニアが上司やクライアントに対応の必要性を説明しやすくなった、という声も上がっています。

実際にITmedia NEWSの記事でも、総理の発信によって経営層に危険性が伝わりやすくなった、というエンジニアの反応が紹介されています。

技術的な問題を理解してもらうのは、簡単なことではありません。

特に、目に見える被害がまだ起きていない段階で、サービスを停止する判断をしてもらうのは難しいでしょう。

そう考えると、今回の総理の投稿は、単なる注意喚起ではなく、現場で働く人たちの判断を後押しする意味もあったのだと思います。

もちろん、すべてのウェブサイトが停止しなければならなかったわけではありません。

運営環境や対策状況によって、取るべき対応は異なります。

ただ、私たちが普段利用しているサービスに突然「緊急メンテナンス中」と表示されたとしても、それだけで攻撃を受けたとか、情報が漏れたと決めつけないほうがよさそうです。

被害を防ぐために、あえて先に止めている場合もあるのです。

本当に心配なのは、対応できていないウェブサイトかもしれない

ここまで、大規模なウェブサービスの緊急対応についてお話ししてきました。

ただ、個人的には、もう一つ気になっていることがあります。

それは、今回の問題を知らないまま、ウェブサイトを運営し続けている会社もあるのではないかということです。

例えば、エンジニアを社内に抱えている大企業なら、今回のような緊急事態にも対応できる体制が整っているかもしれません。

もちろん、大企業だからといって必ず安全とは限りませんが、専門の担当者がいれば、情報を集めて対応することは比較的しやすいでしょう。

一方、中小企業ではどうでしょうか。

ウェブサイトの制作を外部の会社に依頼して、その後はほとんど触っていない。

そんな会社も少なくないと思います。

ホームページは会社の案内や問い合わせ先を載せているだけ。

頻繁に更新するものでもないし、そもそもPHPという言葉すら知らない。

こうしたケースもあるでしょう。

制作を依頼した会社が保守管理まで担当していれば、対策してくれているかもしれません。

しかし、作ってもらっただけで、その後の管理契約がなかったとしたら？

レンタルサーバーを契約しているけれど、何年も設定を見直していなかったとしたら？

今回の脆弱性があることすら知らずに、サイトが動き続けている可能性もあります。

実際、IPAも、サポートが終了した古いPHPを使い続けているウェブサイトが存在すると注意を呼びかけています。

もちろん、中小企業だから危険、大企業なら安全、という話ではありません。

会社の規模よりも、誰がウェブサイトの安全を管理しているのかが大切なのだと思います。

「うちには盗まれる情報がないから大丈夫」は危険

ここで、もう一つありがちな考え方があります。

「うちのホームページは会社案内だけだから大丈夫」

「顧客情報なんて保存していないし、盗まれて困るものもない」

確かに、個人情報やクレジットカード情報などを保存していないサイトなら、情報漏えいの被害は限定的かもしれません。

しかし、攻撃者の目的は、必ずしも情報を盗むことだけではありません。

例えば、会社のウェブサイトが勝手に書き換えられてしまうケースを考えてみましょう。

本来は会社のサービスを案内していたページに、攻撃者が勝手にリンクを追加する。

あるいは、問い合わせボタンのリンク先を偽のサイトに変更する。

訪問した人を、別の詐欺サイトへ誘導するように仕組まれてしまうかもしれません。

こうしたウェブサイトの書き換えは「改ざん」と呼ばれます。

さらに厄介なのは、訪問した人にとって、そのページが本物の会社のサイトに見えることです。

例えば、いつも利用している地元のお店や取引先のウェブサイト。

見慣れた会社名やロゴが表示されていれば、訪問者は安心してリンクを押してしまうかもしれません。

その結果、偽のログイン画面でパスワードを入力させられたり、詐欺サイトへ誘導されたりする可能性があります。

こうなると、会社自身が情報を盗まれなかったとしても、サイトを訪れたお客さんや取引先が被害に遭うかもしれません。

会社の信用にも関わる問題ですよね。

つまり、自分の会社に盗まれて困る情報があるかどうかだけで、安全性を判断してはいけないということです。

自社サイトを、誰かを騙すための道具に使われてしまう可能性もあるのです。

なお、これは今回のPHPの脆弱性が悪用された場合に考えられる被害の例であり、すべてのサイトでこうした改ざんが起きたという意味ではありません。

「狙われるのは大企業だけ」という時代でもない

「とはいえ、攻撃者が狙うのは、有名企業や大きなサービスでしょ？」

そう考える方もいるかもしれません。

しかし、今のサイバー攻撃では、必ずしも特定の企業を人間が一つずつ選んでいるわけではありません。

インターネット上に公開されているウェブサイトを、プログラムが自動的に調べて、弱点のあるものを探す。

こうした攻撃は、以前から行われています。

例えば、何千、何万というウェブサイトに対して、自動的にアクセスし、特定の弱点が残っていないかを調べることができます。

攻撃者からすれば、相手が有名企業なのか、地方の小さなお店なのかは、必ずしも重要ではありません。

弱点が残っていて、悪用できるかどうか。

それが判断基準になる場合もあります。

そして、最近ではAIの進化によって、このような攻撃の自動化がさらに進む可能性もあります。

AIを使って弱点を探したり、攻撃に必要なプログラムの作成を助けたりすることも考えられます。

ただし、今回のPHPの脆弱性に対する攻撃が、実際にAIによって全自動で行われていると確認されたわけではありません。

大切なのは、攻撃者が一社ずつ手作業で狙う必要は、すでにないということです。

会社の規模が小さいことも、アクセス数が少ないことも、それだけでは安全の理由にはなりません。

むしろ、何年も更新されず、管理が行き届いていないウェブサイトのほうが、弱点を残したままになっている可能性があります。

「うちのサイトなんて誰も狙わない」

そう思い込むのは、危険なのかもしれません。

今後は、不審なメールにも注意したい

そして、一般の利用者にも気をつけてほしいことがあります。

それが、パスワードの再設定などを装った不審なメールです。

例えば、こんな内容のメールが突然届いたらどうでしょうか。

「パスワードの再設定を受け付けました」

「不正なログインが検出されました」

「セキュリティ上の問題が見つかったため、アカウントを確認してください」

こうしたメールは、本物のサービスから届くこともあります。

しかし、偽物のメールを使って、パスワードや個人情報を盗もうとする詐欺も存在します。

特に今回のように、世の中で大きなセキュリティ問題が報じられると、そのニュースに便乗した詐欺が現れる可能性も考えられます。

「PHPの脆弱性により、お客様のアカウントを確認する必要があります」

そんなもっともらしい文章が書かれていたら、思わずリンクを押してしまう人もいるかもしれません。

また、仮に今回の脆弱性が悪用され、どこかのサービスで実際に情報漏えいが発生した場合、そこで得られた情報が別の詐欺に利用される可能性もあります。

ただし、今回の問題によって、利用者のパスワードが一斉に漏えいしたと確認されたわけではありません。

必要以上に怖がる必要はありませんが、少なくとも、身に覚えのないメールには注意したいところです。

特に、自分で操作した覚えがないのにパスワード再設定のメールが届いた場合は、メール内のリンクを安易に押さないようにしてください。

本当に自分のアカウントに問題が起きているのか確認したい場合は、普段使っている公式アプリや、いつもアクセスしている公式サイトを自分で開いて確認しましょう。

また、こうしたメールが届いたというだけで、必ずしもアカウントが乗っ取られたわけではありません。

慌てずに、メールの内容やサービスの公式なお知らせを確認することが大切です。

私たちは、何をすればいいのか？

では、今回の問題について、私たちは何をすればいいのでしょうか。

まず、普段ウェブサービスを利用しているだけの方。

今回の問題は、基本的にウェブサイトを動かすサーバー側の問題です。

スマホのアプリを更新したり、パスワードを変更したりするだけで直せるものではありません。

利用しているサービスから公式のお知らせが出ていれば、その内容を確認しましょう。

また、不審なメールが届いても、慌ててリンクを開かないこと。

サービスの公式サイトやアプリから、必要な対応があるか確認してください。

一方、自分でブログやウェブサイトを運営している方は、少し注意が必要です。

特にWordPressを使っている場合は、今回の問題が関係する可能性があります。

ここで勘違いしやすいのが、WordPressの更新とPHPの更新は別だという点です。

WordPressを最新版にしていても、サーバー側で古いPHPが動いていれば、それだけで今回の問題が解決したことにはなりません。

また、エックスサーバーやロリポップなどのレンタルサーバーを利用している場合も、提供元の対応状況や、自分が利用しているPHPのバージョンを確認する必要があります。

契約しているだけで、すべて自動的に安全になるとは限らないからです。

制作会社や管理担当者に任せているなら、次の三つを確認しておくとよいでしょう。

• うちのサイトではPHPを使っていますか？
• 今回の脆弱性への対策は完了していますか？
• まだなら、完了するまでどうやって守りますか？

そして、できればもう一つ。

「今回の問題が発表される前後に、不審なアクセスやファイルの変更がなかったか」

こちらも、可能な範囲で確認してもらうとよいでしょう。

というのも、修正版を適用すれば、その後の同じ弱点を狙う攻撃は防げても、更新前にすでに侵入されていた場合の問題が、必ずしも解決するわけではないからです。

今回の問題については、2026年10月21日に修正版が公開されています。

修正版は、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。

ただし、これは対象となる各系列の修正版であって、どれでも好きなものに変更すればよいという話ではありません。

サーバーやウェブサイトの構成に合った更新が必要です。

また、PHP 8.1以前の古いバージョンは、すでに公式サポートが終了しています。

こうしたバージョンを使っている場合は、対応している新しいバージョンへの移行も検討する必要があります。

詳しくは、IPA（情報処理推進機構）の注意喚起を確認してください。

今回の出来事で、もう一つ印象的だったこと

今回のニュースで私が特に印象に残ったのは、AIの存在です。

ChatGPTなどの生成AIというと、文章を書いたり、画像を作ったり、プログラムを書いたりするもの、というイメージが強いかもしれません。

しかし、今回のように、膨大なプログラムの中から重大な弱点を見つけることにも、AIが活用され始めています。

以前から存在していた問題の危険性が、AIも活用したセキュリティ調査によって明らかになった。

これは、なかなか大きな出来事ではないでしょうか。

一方で、同じような技術を攻撃する側が利用する可能性もあります。

AIによって、これまで発見が難しかった弱点を見つけやすくなる。

それは、守る側にとって大きな力になります。

しかし同時に、攻撃する側にとっても強力な道具になり得るわけです。

これからは、AIが見つけた脆弱性を、AIも活用しながら急いで修正する。

そんな時代になっていくのかもしれません。

そして今回、改めて感じたのは、私たちが普段使っているウェブサイトの裏側には、膨大な数のプログラムが動いているということです。

私たちが目にするのは、きれいに整えられた画面だけです。

しかし、その裏側には、サーバーがあり、プログラムがあり、それらを管理する人たちがいます。

普段は何も問題なく使えているので、あまり意識することはありません。

でも、画面がいつも通り表示されていることと、安全に運営できていることは、必ずしも同じではありません。

今回のような大きな問題が見つかったとき、サービスを止めて対応する人もいれば、夜中に修正作業を続ける人もいます。

私たちが当たり前のように使っている便利なサービスは、そんな人たちの仕事によって支えられているわけです。

そして、セキュリティ対策は、大企業や有名なウェブサービスだけの問題ではありません。

小さな会社のホームページも、個人で運営しているブログも、インターネットに公開している以上、無関係とは言い切れません。

「狙われるほど有名じゃないから大丈夫」

「盗まれて困るような情報はないから大丈夫」

そんな考え方も、これからは少し見直したほうがよいのかもしれません。

自分の情報を守るだけでなく、自分のサイトを訪れる人を守る。

そういう意味でも、ウェブサイトの安全管理は大切なのだと思います。

PHPという言葉を初めて知った方も、今回のニュースをきっかけに、ウェブサイトの裏側について少しでも興味を持っていただけたらうれしいです。

そして、ご自身でブログやウェブサイトを運営している方は、今回の問題が自分のサイトに関係していないか、ぜひ一度確認してみてください。

参考資料

• PHP Foundation：今回の修正公開とセキュリティ体制について
• PHP公式：重大な脆弱性に関する発表
• OpenAI公式：重大な脆弱性の発見と関係機関の連携
• IPA：PHPの脆弱性対策について
• ITmedia NEWS：高市総理の緊急対応要請
• AWS：修正版公開前に確認された攻撃の試み
• IPA：不審なメールや不正ログインへの対策