2026年10月21日の夜、日本中のシステム担当者に激震が走りました。 Webサイトの基盤となる言語「PHP」に、外部からサーバーを乗っ取られる重大な欠陥が発覚したのです。首相がXで異例の緊急対応を呼びかけ、銀行や鉄道、官公庁のサイトまでが次々と予防停止する異常事態となりました。
弊社でも約12のWebサイトを管理しており、すぐさま対応に追われました。しかし、いざPHPのバージョンを上げようにも、サイトにアクセスすらできず、開くのに10分以上かかる始末。なんとかバージョンアップを終えても今度は表示エラーが続出し、その修正作業でまる1日を費やす大惨事になってしまったのです。
このニュースは、決して大企業だけの対岸の火事ではありません。むしろ、ホームページの管理を外部に任せきりにしている中小企業にこそ、直撃する問題です。
あの夜、水面下で何が起きていたのか。そして、もし明日同じことが起きたら「御社はどう備えるべきか」。 この記事では、現場で悪戦苦闘した実体験を交えながら、今すぐできる具体的な対策を分かりやすくお伝えします。
目次
何が起きたのか――眠っていた欠陥が一晩で現実の脅威に
ログインなしでサーバーを操られるおそれ
今回見つかったのは、PHPそのものに潜んでいた2つの欠陥です。通称「PHP2Shell」と呼ばれています。
どちらも、プログラムが使うメモリ（作業用の記憶領域）の扱いに不備があり、うまく条件を重ねると、外部から送り込んだ命令をサーバー上で実行できてしまうというものです。深刻度は10段階で9.2と、最も危険な区分に入ります。
影響を受けるのは、2012年に公開されたPHP 5.4以降の幅広いバージョンです。WordPressやDrupalなど、PHPで動く仕組みの上に作られたサイトは、ほぼすべてが対象になり得ます。発見した調査会社は、インターネットの約7割に影響すると説明しています。
修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35として日本時間21日の夜遅くに公開されました。
ここで中小企業の経営者に知っておいていただきたいのは、WordPressやプラグインを最新にしていても、それだけでは守れないという点です。問題はその土台にあるPHP本体なので、土台を更新しない限り穴は残ります。
なぜ長年見過ごされてきたのか
この欠陥は、PHPのメモリ管理やエラー処理の、かなり深い部分にありました。
2024年に行われた外部の監査をきっかけに、開発者が最初の兆候に気づいていたとも報じられています。ただ、攻撃として成立させるには、複数の条件を正確に重ね合わせる必要がありました。専門家にとっても再現は難しく、現実の脅威とは見なされないまま、長い時間が過ぎていったのです。
「理屈の上では危ないが、実際には使えない」。人間の手間と時間を前提にすると、そう判断されてもおかしくない種類の穴でした。
AIが変えた「見つける速さ」
その前提を崩したのがAIです。
2026年8月、あるセキュリティ企業の研究者が、AIと対話しながらPHPの内部を調べる中で、最初の欠陥を見つけました。ほぼ同じ時期に別の調査会社も独立して発見し、AI開発企業自身も同じ原因を突き止めて報告しています。いずれも8月中にPHPの開発チームへ伝えられ、10月の修正につながりました。
発見した調査会社の一つは、「かつては世界トップクラスのチームが数か月かけていた作業を、研究者1人が1週間でやり遂げた」と述べています。
研究者がAIに仮説を投げ、AIが膨大な組み合わせを試し、結果を人が確かめる。このやり取りを繰り返すことで、眠っていた欠陥が「実際に動く攻撃」として形になりました。AIは単に検索を速くしたのではなく、研究者と一緒に考える相手として働いたのです。
日本で起きた異例の一夜
首相がXで呼びかけた意味
21日の夜9時55分ごろ、高市早苗首相は自身のXで、PHPの重大な欠陥について対応を呼びかけました。修正版が出たら速やかに適用すること、すぐに対応できない場合はサイトを一時的に止めることもリスクを下げる有効な手段であること。その2点を、国民と事業者に直接伝えたのです。
国家サイバー統括室も、公開しているサイトがPHPを使っているかを確認し、夜11時に公開予定の修正版をすぐ適用できるよう準備してほしいと呼びかけました。経済産業省所管の情報処理推進機構（IPA）も注意喚起を出しています。
ひとつのソフトウェアの欠陥について、首相が直接呼びかけるのは異例です。私はこの投稿の価値を、技術の内容よりも「今夜、経営者が判断しなければならない」という緊急性を、現場の担当者だけでなく経営層にまで届けた点にあると見ています。
銀行も自治体も「止める」を選んだ
国内では、静岡銀行がネットバンキングを一時停止し、みずほ銀行は臨時メンテナンスに入りました。七十七銀行も予防的に一部サービスを止めています。証券会社でも、ウェブでの口座開設や本人確認の手続きを停止する動きが出ました。
全国銀行協会は、銀行間の決済への影響は確認されていないと説明しています。つまり、多くの銀行は「被害が出たから止めた」のではなく、「被害を出さないために止めた」わけです。
止まったのは金融機関だけではありません。財務省や国土交通省などの省庁、各地の県や市のホームページ、鉄道やバス会社の公式サイト、ネットショップ作成サービスのBASE、pixivやニコニコ、人気ゲームまでが、相次いでメンテナンスに入りました。
利用者の側から見れば、「いつも使っているサービスが突然止まる」という経験です。ウェブの土台がどれだけ広く共有されているかを、多くの人が実感した一夜でした。
攻める側と守る側の「速さの差」は中小企業にこそ重い
見つける速さは上がっても、直す速さは上がらない
今回の出来事を受けて、AI開発大手のOpenAIは、AIによる同様の発見が今後数か月で急増すると見込んでいます。
ここに、私が最も注目している構図があります。
AIを使えば、欠陥を見つける速さも、攻撃の手口を組み立てる速さも、一気に上がります。実際、修正版の公開前に詳しい情報が外部に漏れ、攻撃を試す動きも出ていました。大手の通信事業者が公開前から攻撃を遮る仕組みを全利用者に適用したところ、攻撃側がそれをすり抜けようと手口を次々に変えてきたと報告されています。
一方で、守る側が修正版を当てるには、担当者を確保し、影響を確かめ、関係者に連絡し、場合によってはサービスを止める判断が要ります。これは人と組織の仕事なので、AIがあっても急には速くなりません。
攻める側は機械の速さで動き、守る側は人の速さでしか動けない。この差が、今回はっきりと見えました。
「誰が直すのか」がわからない会社は少なくない
銀行や省庁には、夜中でも判断できる体制があります。では、中小企業はどうでしょうか。
私がDX支援の現場でよく見かけるのは、次のような状態です。
ホームページは数年前に制作会社に作ってもらった。サーバーはレンタルサーバーで、契約は経理の担当者が更新している。PHPのバージョンは誰も知らない。保守契約があるのかどうかも、はっきりしない。
この状態で21日の夜を迎えた会社は、首相の呼びかけを見ても、何をすればよいのか、誰に頼めばよいのかがわからなかったはずです。
課題は技術ではなく「判断の段取り」
ここで大切なのは、「PHPに詳しい人を雇おう」という発想に飛ばないことです。
今回の問題の本質は、技術の難しさではありません。「自社のサイトを誰が直し、直せないときに誰が止める判断をするのか」が決まっていないという、段取りの問題です。
課題がはっきりすれば、打つ手もはっきりします。ITはその手段にすぎません。
御社ならこう備える
自社サイトの「持ち主」と「直す人」を確かめる
最初にやっていただきたいのは、制作会社とレンタルサーバー事業者への確認です。電話一本、メール一通で構いません。
聞くことは3つです。いま使っているPHPのバージョンは何か。今回の欠陥への対応は済んでいるか。保守契約の範囲に、こうした緊急の更新が含まれているか。
返事があいまいなら、それ自体が大事な情報です。緊急時に頼れる相手がいないことがわかったのですから、保守契約を見直すか、更新を事業者側で自動的に行ってくれるサーバーへ移ることを検討してください。
古いPHPのまま動いているサイトには、そもそも公式の修正版が届きません。今回を機に、新しいバージョンへの移行を計画に入れておくことをおすすめします。
「止める」判断を、平時に決めておく
今回、多くの銀行や自治体が選んだのは「止める」ことでした。中小企業も同じ選択肢を持っておくべきです。
ただし、緊急時にゼロから考えると判断が遅れます。平時のうちに、次のことを社内で話し合っておいてください。
止める判断を下すのは誰か。社長が不在のときは誰が代わるか。お問い合わせフォームやネットショップのように止めると困るものと、会社案内のように止めても大きな影響がないものを、どう分けるか。止めたときにお客様へどう伝え、どの経路で知らせるか。
一度、夜間に連絡がつくかを試しておくだけでも、本番での動きはまったく違ってきます。
あわせて、ホームページのサーバーに顧客情報を必要以上に置いていないかも見直してください。万一入り込まれても、置いていない情報は盗まれません。
AIを守りの思考パートナーにする
攻める側がAIを使うなら、守る側もAIを使えばよいのです。それも、高度なセキュリティ製品としてではなく、経営判断を一緒に考える相手として使うのが中小企業には向いています。
私なら、次のように使います。
まず、サーバー事業者や公的機関から届いた注意喚起の文面を、そのままAIに渡します。そして「当社はレンタルサーバーでWordPressを使っている。この内容は当社に関係があるか。関係があるなら、今夜中に誰に何を確認すべきか」と相談します。専門用語だらけの文書も、自社の状況に引き寄せて読み解く手助けをしてくれます。
次に、サイトを止める場合のお客様向けのお知らせ文を、AIと一緒に下書きしておきます。慌てた夜に一から文章を考えずに済みます。
さらに、「当社のホームページで、止めると困るのはどの機能か」「サーバーに置いている情報で、本当に必要なものはどれか」と、AIに問いを投げてもらいながら棚卸しを進めるのも効果的です。AIは答えを出す装置ではなく、自分では気づかない問いを投げ返してくれる相手として力を発揮します。
AIは攻める側だけの味方ではない
今回の欠陥は、AIがなければもっと長く眠り続けていたかもしれません。その意味で、AIは危険を生んだ側にも見えます。
しかし、最初に見つけたのも、AIと組んだ守る側の研究者たちでした。攻撃者より先に見つけ、修正版を用意する時間を稼いだのです。
AIによって欠陥が見つかる速さは、これからさらに上がっていきます。そのとき差がつくのは、技術力よりも「誰が直し、誰が止めるか」という段取りを、平時に決めているかどうかです。
御社のホームページは、次の「大至急のお願い」が届いた夜に、落ち着いて対応できるでしょうか。今日のうちに、制作会社への確認から始めてみてください。
DXやITの課題解決をサポートします！ 以下の無料相談フォームから、疑問や課題をお聞かせください。40万点以上のITツールから、貴社にピッタリの解決策を見つけ出します。
このブログが少しでも御社の改善につながれば幸いです。
もしお役に立ちそうでしたら下のボタンをクリックしていただけると、 とても嬉しく今後の活力源となります。 今後とも応援よろしくお願いいたします！
IT・通信業ランキング | にほんブログ村  |
もしよろしければ、メルマガ登録していただければ幸いです。
【メルマガ登録特典】AI戦略で10年以上勝ち続ける実践バイブル『AI競争勝者の法則』をプレゼント！
今すぐプレゼントを受け取る