2026年10月20日、PHP開発チームが「10月21日23時に、2件の脆弱性に対するセキュリティリリースを公開する」と発表したのが、事の始まりでした。

ここから、世界中で、そして日本でも、PHPの脆弱性対策に追われる日々が幕を開けました。

WEBセクションの利根川です。
さて、今回の「UNIIDEOの日常」では、このPHP騒動について簡単に解説したいと思います。



まず、PHPの仕組みを「家とカギ」にたとえると、次のようになります。

PHP＝玄関のカギの構造
脆弱性＝どの家のカギも開けられてしまう設計上の欠陥
パッチ（修正版）＝カギの修理部品
サポート切れのバージョン＝製造終了した旧モデルのカギ
WAF＝玄関前に立つ警備員



これを踏まえると、経緯は次のとおりです。

10/20
［脆弱性の詳細が、予定の公開日より前に漏洩］
メーカーが内密に修理を準備していた「このカギは開けられる」という欠陥情報が、発表前に街中へ漏れてしまいました。

10/20
［CERT-EUが、PHPアプリの隔離を推奨］
欧州の防犯機関が「修理部品が届くまで、外から玄関に近づけないようにしておいて」と呼びかけました。

10/20 深夜
［PHP開発チームが「21日23時に修正版を公開」と告知］
メーカーが急きょ「明日の夜11時に修理部品を配ります」と発表しました。

10/21
［CloudflareがWAFルールを展開し、すでに攻撃を観測］
警備会社が、部品配布の約9時間前から玄関に警備員を立たせました。その時点で、すでにカギを試しに開けようとする泥棒が現れていました。

10/21 23:00
［修正版（8.2.35／8.3.36／8.4.27／8.5.12）を公開］
修理部品の配布が始まりました。ただし対象は現行モデルの4種類のみで、旧モデル（8.1以前）は対象外でした。

10/21 深夜〜（各社で順次）
［各サーバ会社が、修正版PHPを適用（緊急メンテナンス）］
マンションの管理会社が、配られた修理部品で各部屋のカギを順番に交換していきました。当初、旧モデル（8.1以前）の部屋には部品がなく、住人自身が新しいカギに付け替える（バージョンを切り替える）しかないと考えられていました。

ところが実際には、23日にかけて多くのサーバ会社が、サポート切れの8.1以前のバージョンにもパッチを適用しました。メーカーが事態の深刻さを受けて、特例で「応急処置用の部品」を用意したためです。

ただし、これはあくまで応急処置です。今後また別の欠陥が見つかっても、旧モデルには部品が出ない可能性が高いままです。そのため、この機会に新しい型のカギ（PHP 8.3以上）へ付け替えていくことが大切です。



この経緯を踏まえて、UNIIDEOとしても、現在全力で対応にあたっております。
今回の出来事を通じて、Webサイトもまた家と同じように、目に見えない部分の点検や手入れが大切だと、私たち自身も改めて実感しました。

一日も早く平常の状態に戻れるよう、引き続き尽力してまいります。