PHPの重大な脆弱性「PHP2Shell」で何が起きたのか —— 国内の停止の理由と、今夜からやることを公式情報で確かめる

10月21日の夜に何が起きたのか

10月21日の午後から夜にかけて、国内の多くのWebサービスで緊急メンテナンスや一時停止が相次ぎました。さらに夜には、首相がXで、PHPを使うサイトの運営者に対応を呼びかける異例の事態となりました。[s1][s5][s9]

原因は、Webサイトを動かすプログラミング言語「PHP」に、重大な脆弱性が2つ見つかったことです。[s1]ただし、PHPを使っているサイトがすべて危険というわけではありません。危険の度合いは、PHPのバージョンや設定、対策の有無によって変わります。

本記事の情報は、10月21日の夜（日本時間）までのものです。続報で状況が変わることがあるため、最新の情報は公式の発表で確かめてください。

PHPとは何か —— 「約7割」の正体

見える画面と、裏で動くPHP

PHPは、Webサイトの裏側で動くプログラミング言語です。お店にたとえると、利用者が見ている画面は売り場で、PHPは裏の厨房で注文をさばく係にあたります。ログインや買い物のたびにPHPが動き、ページを作って返しています。

ブログ作りに広く使われるWordPressもPHPで動いており、ネットショップを作る道具にもPHPを使うものが多くあります。[s8]

「69.3%」の意味

報道では「世界のWebサイトの約7割で使われている」と伝えられました。元の数字はW3Techsの調べで、69.3%はサーバー側の言語が分かるサイトの中でPHPが使われている割合です。[s8]つまり、使われている割合であって、被害を受ける割合ではありません。それでも、これだけ広く使われる共通の部品に欠陥が見つかったことが、今回の騒ぎを大きくしました。

PHP2Shellとはどんな脆弱性か

見つかった脆弱性は2つで、「PHP2Shell」は通称です（シェルはサーバーに命令を送る入り口のこと）。[s1][s13]PHPの開発チームは、2つとも深刻度を10点満点中9.2と評価しました。CVSSは脆弱性の危険度を0〜10で表す物差しで、9以上は最上位の「重大」にあたります。[s2][s3]

公式が挙げたいちばんの問題

条件の悪さも深刻です。ログインなしで、ネット越しに遠くからプログラムを動かされるおそれがあります。[s1][s2]建物にたとえると、ふつうの攻撃は玄関の鍵、つまりパスワードを破ろうとしますが、今回は鍵に関係なく壁の抜け道から入られるようなものです。そのため、強いパスワードにしていても防げません。[s1]

2つの脆弱性の中身

公式の資料から引用

• 1つ目：メモリ不足（OOM）で壊れる
• 2つ目：古い状態が残る

1つ目は、メモリが足りなくなったときに起きる不具合です。PHPが作業の途中で止まり、後片づけの処理が、途中までしかできていない内部のデータを完成品だと思い込んで扱ってしまいます。その壊れたデータが悪用されるおそれがあります。[s1][s2]2つ目は、片づけたはずの内部の状態が残っていて、次のリクエストがその古い状態を使ってしまう不具合です。前のお客様のメモが残ったまま、次のお客様に使われるようなものです。[s1][s3]いずれもたとえであり、実際にはメモリの扱いに関わる難しい不具合です。正確な説明は公式の告知を参照してください。

公式の資料から引用

• 認証なしのリモートコード実行
• いちばん危険なのは mod_php

公式の告知は、認証なしでリモートからコードを実行されるおそれがあると明記しています。とくに危険なのは、Apacheのモジュールとして動かすmod_phpで、アプリのコードが動く前の段階で攻撃が成り立つことが実証されています。[s1][s2]

PHP-FPMやphp-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理するほかの動かし方も影響を受けるおそれがあるため、公式はすべての利用者に更新を求めています。[s1]

「実証」は研究者の実験

なお、ここでいう「実証」は、研究者が実験で確かめたという意味です。PHPの公式の告知は、実際の攻撃を観測したとは書いていません。[s1]

10月20日から21日の流れ

始まりは10月20日の予告でした。PHPの開発チームが、修正版を日本時間の21日23時に公開すると事前に告知しました。[s5][s13]ところが、詳しい情報が先に漏れ、攻撃のデモ動画まで出回りました。[s7][s13]そのため、修正版の公開前から、日本でもメンテナンスに入るサービスが出始めました。[s10][s11]夜には首相の呼びかけがあり、23時ごろに修正版が公開されました。[s1][s9]

国内で起きたこと —— 停止の理由は攻撃なのか

21日の午後から夜にかけて、動画・イラストのサービス、ネットショップ、ゲームなどで、緊急メンテナンスや停止が相次ぎました。[s10][s11]注意したいのは、止まった理由が会社ごとに違うことです。

各社のお知らせの書き方

各社のお知らせには、PHPの名前を書いているものと、書いていないものがあります。[s10][s11][s12]ウマ娘やグランブルーファンタジーは、PHPの脆弱性への対応だと明記しました。[s11]ニコニコ本体は「利用しているソフトウェアに重大な脆弱性が予告されたことを受け、予防的に実施する」と説明しています。[s12]さくらインターネットの告知には理由が書かれておらず、BASEは報道によれば別の言い方をしていました。[s10][s11]

報道も「PHPへの対応と見られる」と書くにとどまっています。ニコニコチャンネルの告知は、不正アクセスや情報漏えいは確認されていないとしています。[s12]つまり、多くは予防のための停止と見られ、攻撃を受けたから止まったとは言えません。[s10][s12]

Qなぜ、攻撃される前に止めるのか？

公式の資料から引用

• この時点で、悪用した攻撃は確認していない
• 2024年にもPHPの攻撃で注意喚起

IPAは、攻撃者が非常に短い時間で攻撃に移る可能性を指摘しています。発表の時点では、悪用した攻撃は確認していないとしつつ、2024年7月にもPHPの脆弱性を悪用した攻撃で注意喚起を出した経緯から、予防のために事前の準備を呼びかけました。[s5]

実際の攻撃はどうだったのか

公式の資料から引用

• 公開の約9時間前から、WAFの保護を開始
• お客さんを狙う攻撃のトラフィックを観測

実際の攻撃について、Cloudflareは、利用者を狙う攻撃の通信を観測したと発表しました。一方で、侵入に成功した件数は書いていません。[s7]民間のPatchstackの報告も、探る動きは見えるものの、侵入の確かな証拠はこの時点ではないとしています。[s13]攻撃の通信を見たことと、侵入が確認されたことは別であり、どれだけの被害があったかは、まだ分かっていません。[s7][s13]

首相や政府が動いた理由

首相の投稿は21時55分ごろで、報道の引用によれば、公開しているサイトでPHPを使っているかを確認し、23時に公開される修正版をできるだけ早く適用できるよう準備してほしい、という内容でした。[s9]

さらに、すぐに適用するのが難しい場合は、サイトを一時的に止めることもリスクを下げる有効な策の一つだとしています。[s9]国家サイバー統括室も同じ趣旨の注意喚起をしたと報じられています。[s10]ただし、IPAのページには一時停止という文言はなく、両者は区別して読む必要があります。[s5]

国が動いた3つの理由

国が動いた理由は、広く使われていること、ログインなしで遠くから狙えること、攻撃に移るまでが速いことの3つに整理できます。[s1][s5][s8]

過去にもPHPの重大な脆弱性が実際に悪用された例はあり、米国の機関が悪用を確認した脆弱性の一覧に載ったものもあります。[s14]PHPだけが特別に危ないわけではなく、広く使われる部品だからこそ、対応の速さが求められるのです。

今夜からやること —— 利用者と運営者

サイトを使うだけの人

立場によって、やることは異なります。サイトを使うだけの人は、PHPを直すことはできないので、サービス側の対応を待つことになります。その間は、SNSのうわさではなく公式のお知らせを確かめること、パスワードの使い回しをやめること、ニュースに便乗した偽のメールのリンクを開かないことなど、ふだんの備えを心がけましょう。

サイトを運営している人

サイトを運営している人がやることは4つです。1つ目は、PHPのバージョンの確認です。WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確かめられます。[s6]

公式の資料から引用

• ツール → サイトヘルス → 情報 → サーバー
• WordPress自体の更新は、不要で予定もない

WordPress.orgも、これはWordPress本体の脆弱性ではなく、WordPressの更新は不要で予定もないと説明しています。直すのはサーバーのPHPで、WordPressやプラグインを更新してもPHPは更新されません。[s6]

公式の資料から引用

• 8.5.12・8.4.27・8.3.36・8.2.35へ
• Linuxの提供元などには、パッチが事前に渡された
• 8.1以前は公式の更新なし

2つ目は、修正版になっているかの確認です。8.2.35・8.3.36・8.4.27・8.5.12、またはそれ以降であれば修正済みです。[s1]レンタルサーバーでは会社が更新してくれる場合もあるので、お知らせを確かめましょう。Linuxの提供元などには修正が事前に渡されていたため、パッケージの更新も確認します。[s1]

8.1以前の古い版を使っている場合

8.1以前の版には、PHPの公式の更新は出ません。[s1][s4]サーバー会社やOSの提供元に修正があるかを確かめ、なければ新しい版へ移行する必要があります。[s1]PHPを使うサイトの中では、いまもPHP 7が27.0%、PHP 5が7.7%あり、合わせて3割を超えています。[s8]また、最新の8系でも、8.2のセキュリティサポートは2026年12月31日で終わります。[s4]

すぐに更新できないときの選択肢

3つ目は、すぐに更新できないときの判断です。設定での緩和やWAFによる防御は、完全な対策ではありません。PHPの公式は設定の緩和では安全にならないと書き、Cloudflare自身もPHPの更新を求めています。あくまで応急処置です。[s1][s7]どうしても更新できない場合は、サイトを止める判断も選択肢の一つです。[s6][s9]なお、出回っている攻撃のコードは動作が確かめられておらず、マルウェアが仕込まれているおそれもあるため、自分で試してはいけません。[s14]非公式の修正も使わず、公式の更新を適用しましょう。[s13]

更新のあとに確認すること

4つ目は、更新後の確認です。更新しても、すでに侵入されていた場合の痕跡は消えません。[s15]知らない管理者のアカウント、見覚えのないPHPのファイル、最近変わったファイルがないかを確かめ、不安があればサーバー会社や専門の業者に相談してください。[s15]会社の担当者は、ネットワーク機器などの製品の中にもPHPが使われている場合があるというIPAの注意も確認しておきましょう。[s5]

言い切らないための5つの区別

今回のニュースを正しく受け止めるために、5つの区別を押さえておきましょう。1つ目に、「約7割」は言語が分かるサイトの中でPHPを使う割合で、被害の割合ではありません。[s8]2つ目に、WordPressの問題ではなく、PHP本体の問題です。[s6]3つ目に、攻撃の通信を観測したことと、侵入が確認されたことは別です。[s7]

4つ目に、出回っている攻撃のコードは、それが実際に動く証拠ではありません。[s14]そして5つ目に、サービスの停止やメンテナンスは、攻撃を受けた証拠ではありません。[s10][s12]

今回の教訓とまとめ

今回の3つの教訓

今回の本質は、PHPが危険だったということではありません。広く使われる共通の部品に弱点が見つかると、多くの会社が同時に対応を迫られるということです。[s1][s8]そこから3つの教訓が引き出せます。自社のシステムが何で動いているかを把握しておくこと、更新できる体制を整え古い版を残さないこと、止める判断の基準と連絡の手順を事前に決めておくことです。[s4][s5]IPAも、使っているプログラムや製品のPHPを棚卸しするよう勧めています。[s5]

運営者にとっての本命の対策はPHPの更新で、更新後の確認も欠かせません。サイトを使うだけの人は、公式のお知らせを確かめながら待ちましょう。そして、停止は攻撃の証拠ではないことを覚えておいてください。