PHP脆弱性『php2shell』で何が？首相のXと止まった国内サービスを整理

2026年10月22日15時10分（日本時間）時点の情報です。ニコニコの状況だけは、15時50分に確認し直しました。

このワダイ、3行で

ウェブサイトを動かす『PHP』に、外から遠隔操作されるおそれのある重大な欠陥が2件見つかり、10月21日夜に修正版が公開されました。
高市早苗首相が21日21時55分ごろにXで準備を呼びかけ（ITmedia NEWSは「異例」と伝えています）、国内では予防のための停止が相次ぎましたが、再開の状況は会社ごとに違います。
公式が確認したのは深刻度9.2と対象バージョンまでで、悪用や攻撃コードの流出は、公的機関の発表では確認できていません。

『PHP』は、ウェブサイトを動かすためのプログラミング言語です。世の中の調査会社W3Techsによると、サーバー側の言語が分かるサイトのうち69.3%がPHPを使っています（2026年10月21日時点）。『php2shell』は、そのPHPで見つかった2件の脆弱性（ソフトの欠陥のうち、悪用されると被害につながるもの）を、報道やセキュリティ各社がまとめて呼んでいる名前です。

2件はどちらも「RCE」と呼ばれるタイプです。外からネットワーク越しに送られた命令を、サーバーが実行してしまう欠陥のことです。サイトの持ち主が何も操作していなくても起きうるので、重大なものとして扱われます。

首相がXで呼びかけた「大至急のお願い」
1. 国家サイバー統括室の投稿が先に出ていた
2. なぜ「異例」と言われるのか
何が起きたのか──10月20日から22日午後までの流れ
止まった国内サービスの一覧と、各社の公式告知
公式に確認できたこと、まだ確認できていないこと
昔にもあった「PHPの入り口の欠陥」と、古いPHPが残る問題
これから見ておく点
1. 出典

首相がXで呼びかけた「大至急のお願い」

今回の話題が、IT業界の外にも広がったきっかけの一つが、高市早苗首相のX投稿です。投稿は10月21日、修正版の公開予定だった23時の約1時間前に、首相本人のアカウント（@takaichi_sanae）から出ました。Xの公開データでは、投稿時刻は21時55分です。

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…
— 高市早苗 (@takaichi_sanae) October 21, 2026

投稿は長いため、埋め込みでは冒頭だけが表示されます。続きの文言は、INTERNET Watchが引用している内容です。

皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
高市早苗首相のX投稿（2026年10月21日）。最初の2段落はXの公開データで、残りはINTERNET Watchの引用で確認

投稿が呼びかけているのは、次の3つです。

自分のサイトでPHPを使っているかを確認する。
23時に公開される修正パッチを、すぐ適用できるよう準備する。
すぐ適用できない場合は、サイトを一時的に止めることも、リスクを下げる方法の一つと考えられる。

「止めなさい」という命令ではなく、「一つと考えられます」という書き方です。サイトの持ち主が自分で判断することを前提にしています。

国家サイバー統括室の投稿が先に出ていた

投稿の最後にある「国家サイバー統括室のXアカウント」（@cyber_forecast）は、首相の投稿より約11分前の21日21時44分に、首相の投稿のうち「パッチ適用が難しい場合は一時停止も有効」という部分と同じ趣旨の投稿を出していました（Xの公開データによる）。

PHPの重大な脆弱性に関し、本日午後11時に公開が予定されている修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室（@cyber_forecast）のX投稿（2026年10月21日）

なぜ「異例」と言われるのか

ITmedia NEWSは22日朝の記事で、「首相が個別のソフトウェア脆弱性について、Xで直接対応を呼び掛けるのは異例」と書いています。これは同記事自体の説明で、特定の人物や機関の発言としては示されていません。確認できた範囲では、ほかの報道は投稿の内容を伝えるもので、「異例」と評価しているのはこの記事です。

同じ記事は、エンジニアのポストを引用し、首相が発信したことで経営層にもリスクが伝わる、という趣旨の評価を紹介しています（このページでは個人名を出しません）。投稿を見た経営者が、システム担当者に確認を指示しやすくなる、という見方です。Xの公開データでは、14時55分に確認した時点で、この投稿の「いいね」は約32万6千件に達しています。

一方で、この投稿が、各社が停止を決めた判断にどれだけ影響したかは、確認できる資料がありません。各社の告知には、首相の投稿に触れたものは見つかりませんでした。また、過去に首相が同じように個別の脆弱性へ言及した例があるかどうかも、今回の調べでは確認できていません。

何が起きたのか──10月20日から22日午後までの流れ

まず時系列です。日本時間でそろえました。区分の「公式」は、PHPの公式サイト、公的機関、各社自身の告知で確認できたもの、「報道・各社」は、発見者や報道機関の発表で、公式の確認がないものです。

いつ	何があったか	区分
10月20日	PHPの公式サイト（php.net）が「重大なセキュリティ更新を21日23時（日本時間）に公開する予定」と予告。重大な欠陥が2件あること、深刻度がどちらも9.2であることは、この時点で明かされていました。詳細と修正版はまだ非公開でした。	公式
10月20日（米国の朝）	投稿サイトのHacker Newsに、公表前の情報が投稿されたと、Huntressは書いています。投稿はのちに削除されたと報じられています。投稿者名はここでは書きません。	報道・各社
10月21日 13時〜16時	さくらインターネットが、レンタルサーバーなどの緊急メンテナンスを開始（13時〜）。エックスサーバーが、サービスサイトとアカウント管理画面の停止を開始（16時〜、skypenguin.netによる）。BASEは15時50分から、メンテナンスに入りました（BASEの告知）。	さくら・BASEは公式。エックスサーバーの開始時刻は報道
10月21日 19時〜	ニコニコ、pixiv、ConoHa WINGなどが、メンテナンスに入りました。	各社の告知は次の章の表
10月21日 21時44分	国家サイバー統括室がXで、パッチ適用が難しい場合はウェブサイトの一時停止も有効、と投稿。	Xの公開データで確認
10月21日 21時55分	首相がXで、PHPの利用確認とパッチ適用の準備を呼びかけ。	Xの公開データで確認
10月21日 22時30分〜40分ごろ	修正版のPHP 8.5.12・8.4.27・8.3.36・8.2.35が公開されました。時刻は出典で食い違い、CERT-EUは22時30分（13時30分UTC）、GMO Flatt Securityは22時40分ごろと書いています。PHPの公式の予定は23時でした。	修正版の公開は公式。時刻は各出典の記載
10月21日〜22日	セキュリティ会社のwatchTowrは、21日付のFAQに「自社の囮のサーバー（ハニーポット）で、悪用を観測した」と書いています。一方、Huntressは「21日午後4時30分（米東部時間。日本時間22日5時30分）時点で、自社の顧客の環境では悪用を観測していない」としています。	報道・各社（各社の主張で、侵入された例の確認ではない）
10月22日 6時30分〜13時45分	さくらがPHPの更新を完了（6時30分）、エックスサーバーがPHP 8.2〜8.5の修正を全サーバーに適用（6時44分の公式X）、BASEとカラーミーショップが再開（8時と8時49分）、mixhostが修正の適用を完了（10時18分ごろ）。ロリポップ！は13時11分に停止中の利用者サイトを再開したと報じられています（公式Xの発表としてアスキー）。さくらはウェブメールの対応を13時45分に完了しました（さくらの告知）。	各社の告知（次の章の表）
10月22日	JPCERT/CC（国内の注意喚起機関）とIPAが、それぞれ注意喚起を公開。	公式

欠陥を見つけた側の説明もあります。セキュリティ会社のWizは、8月19日に最初の欠陥を見つけ、8月24日にPHPへ報告し、9月21日にPHP側が受け入れて修正を始めたと説明しています。Wiz自身の発表で、第三者の確認はありません。また、PHPの公式の情報（GitHubのセキュリティ情報）には、報告者として複数の名前が載っていて、Wizの発表とは書き方が異なります。このため、このページでは「誰が最初に見つけたか」は決めずに書きます。

止まった国内サービスの一覧と、各社の公式告知

この件で目立ったのは、欠陥が「悪用された」からではなく、「悪用される前に」止める動きが、国内で一斉に起きたことです。まとめサイトのpiyologは、22日朝の時点で、止まったり対策に入ったりした国内の組織を211件、一覧にしています（数え方は同サイトのもの）。ゲーム、動画・出版、通販・チケット、レンタルサーバー、地方自治体まで、幅広い分野が含まれています。

下の表は、15時10分時点で、会社自身の告知を確認できたものを中心にまとめました。「理由の書き方」の列は、告知の文面を基にしています。会社が「PHP」と書いている場合だけ、「PHPの欠陥のため」と言えます。書いていない場合は、報道が結びつけている、という扱いになります。

サービス	止まった範囲と時間	再開・完了（15時10分時点で確認できたこと）	告知での理由の書き方	確認先
BASE	21日15時50分〜22日8時のメンテナンス	「緊急メンテナンス完了のお知らせ」を掲載済み	「利用しているソフトウェア（PHP）に重大な脆弱性が確認されたことを受け」と明記	BASEのヘルプ
カラーミーショップ	21日22時〜のサービス一時停止	22日8時49分にすべて完了、通常どおり利用可	IPAの注意喚起を受け、PHPの脆弱性への予防措置と明記。攻撃やデータ漏洩は確認されていないとしている	公式サイトのお知らせ
mixhost	21日22時45分ごろから、マイページの緊急メンテナンス（skypenguin.netによる）	22日10時18分ごろ、全サーバーへの修正適用が完了。利用者の対応は不要	告知題名に「PHPの重大な脆弱性への対応」とあり、CVE番号を明記	mixhostのお知らせ（適用完了）、skypenguin.net（開始）
さくらインターネット	レンタルサーバー・マネージドサーバーは21日13時〜22日8時ごろ、VPSは21日15時〜22日18時ごろ、緊急メンテナンス	n-2697の更新には、レンタル・マネージドは21日22時30分に完了とあり、VPSの完了は書かれていません（22日18時ごろまでの予定）。22日の別の告知（n-2700）では、「コントロールパネルから選べる全てのPHPバージョン」の対応を完了、利用者の緊急対応は不要、ウェブメールは13時45分に完了、phpMyAdminは対応中。サポートのメンテナンス情報では、PHPのバージョンアップ作業が22日6時30分に完了	緊急メンテナンスの告知（n-2697）に理由の記載はなし。n-2700は題名にPHPの脆弱性（CVE番号）を明記	さくらのお知らせ3件
エックスサーバー	21日夕方から、アカウント管理画面などへのアクセスを一時停止（公式Xの投稿は17時3分）。契約中のサーバーのサイト表示とメールは影響なしと案内	公式Xで、22日6時44分「PHP 8.2〜8.5は対象のすべてのサーバーに修正パッチの適用が完了」。旧バージョンは、一部で修正パッチの準備が整い、検証が済んだものから順次適用を始め、そのほかも対応を進めているとされています。管理画面などは22日9時30分に一部再開と報じられています。公式サイトは、15時9分に確認した時点でも表示できない（503）状態でした	投稿は「予防的な安全対策のため」と書き、「不正アクセスの発生によるものではございません」と説明。停止の告知にPHPの語はなく、修正の適用の投稿でPHPのバージョンに触れている	エックスサーバー公式X、再開は報道
ロリポップ！	21日から、サービスサイトやユーザー専用ページなどを順次メンテナンス。FTPと旧ウェブメールは別の緊急メンテナンス（ロリポップ！の21日付お知らせ）。開始は「掲載時点から順次」で時刻の明記はなく、終了の記載もなし	22日8時55分の公式Xでは、PHPの更新が進行中で、「全サーバーへの適用完了と再開は昼頃を予定」。その後、13時11分に停止中の利用者サイトを再開したと、公式Xの発表としてアスキーが報じています。サービスサイトなどは「まもなく再開予定」とされています	お知らせの題名は「PHPの脆弱性への予防措置に伴うメンテナンス」。公式Xの状況投稿にも「PHPの重大な脆弱性について、順次PHPの更新が進んでいます」と明記	ロリポップ！のお知らせ、公式X（再開はアスキー報道）
ConoHa WING	21日19時〜22日10時（前後する可能性あり）の緊急メンテナンス	21日の緊急メンテナンスの告知に、完了の記載はなし。22日の別の告知で、PHPの修正パッチを順次適用中、サイト表示とメール送受信は正常、ファイルマネージャーとWebメールは一時停止。22日12時〜21時にも別のサーバーメンテナンスの予定	21日の告知は「システムの保守作業」でPHPの語はなし。22日の「PHPの脆弱性への弊社対応について」はPHPと明記し、利用者の対応は不要としている	ConoHaのお知らせ3件
ニコニコ	21日19時〜の緊急メンテナンス（一部サービス。生放送、大百科、アカウントなどは継続と明記。終了日時未定）	22日15時30分の追記で、ニコニコ動画、ニコニコチャンネル、ニコニコプレミアム、ニコニコポイント、ニコニ広告・ギフト機能、クリエイターサポート、ニコニコガレージ、ニコニコ漫画、ボカコレアプリはメンテナンスを終了。ニコニ・コモンズ、クリエイター奨励プログラム、クリエイター収入窓口、ニコニコ静画、ニコニコニュースオリジナルは、PHP本体だけでなく関連するソフトの更新や一部システムの改修が必要と分かり、見通しは改めて知らせるとしています（15時50分に確認。お知らせの題は「実施中」のまま）。同時期のニコニコチャンネルの機能停止は、22日10時10分に終了と告知されています	最初の告知は「利用しているソフトウェアに重大な脆弱性が予告されたことを受け、予防的に実施する」と書き、PHPの語はなし。22日15時30分の追記で「プログラミング言語「PHP」の脆弱性への対応」と明記。チャンネルの告知は「PHP公式より重大な脆弱性に関するセキュリティアップデートの予告が発表された」と明記	ニコニコのお知らせ2件
pixiv	21日19時〜のメンテナンス（開始時刻は報道による）	公式Xで「21日23時30分に終了」	終了を知らせる投稿には理由の記載なし	pixiv公式X
コドモン	21日、全サービスを停止	公式の告知では、再開は22日早朝の見込み。3時22分に再開したと報じられています	「利用しているソフトウェアに重大な脆弱性が確認されたことを受けた」と書き、PHPの語はなし。「不正アクセスや情報漏洩は確認されていない」としている	コドモンのお知らせ、再開時刻は報道
ウマ娘、グランブルーファンタジー	21日22時ごろからのメンテナンスに開始時刻を変更したと報じられています	ウマ娘・グラブルとも、終了（復旧）の時刻は確認できていません	GIGAZINEは、公式Xの告知が「PHPの脆弱性対応」に伴う開始時間の変更を題とし、「システムの安全性を確保するため」と書いていると伝えています	報道（GIGAZINE）
Shadowverse: Worlds Beyond	21日23時〜	22日1時5分に再開と報じられています	公式Xに「「The PHP Group」より本サーバーで使用しているPHPの脆弱性の発見の発表が行われました」と明記。「本件による被害やデータ流出等は確認されておりません」とも書いている	公式X、再開は報道
DMM	21日22時〜、一部サービスが臨時メンテナンス（DMMのお知らせ）	「メンテナンスが終了したサービスから順次再開」とお知らせにあり、サービスごとに状況が違います	「システムのセキュリティ強化を目的とした予防的措置」と書き、対象を「当社サービスで利用している外部ソフトウェアにおいて確認された脆弱性への対応」と説明。PHPの語は取得できた範囲にはなし。個人情報の漏えいはないとしている	DMMサイトのお知らせ

この表から言えることは3つあります。

告知に「PHP」と書いたのは、BASE、カラーミーショップ、mixhost、ロリポップ！、Shadowverse、さくら（n-2700）、ConoHa（22日の告知）などです。ニコニコ本体は最初の告知ではPHPの名前を出さず、22日15時30分の追記でPHPと明記しました。コドモンの告知は「利用しているソフトウェア」と書き、PHPの名前は出していません。ゲーム各社はPHPと書いたとGIGAZINEが伝えています。
多くの告知が「被害は確認されていない」と書いています。つまり今回の停止の多くは、被害が出たから止めたのではなく、被害が出る前の予防でした。
再開の早さは、数時間から半日以上までばらつきました。ニコニコのように、22日15時30分の時点で一部のサービスの終了を伝えつつ、残りのサービスは見通しが立っていないところもあります。

ここに挙げたのは、一部です。ワダイには、不正アクセスで実際に止まったサービスをまとめた不正アクセスなどで止まったサービス一覧のページもあります。今回の停止は、不正アクセスではなく、被害が確認される前の予防停止なので、止まる理由が違います。別々に読んでください。エックスサーバーも、公式Xで「不正アクセスの発生によるものではございません」と説明しています。

なぜ予防で止める判断になるのか。PHP公式は、いちばん危険な方式では、ログインしていない外部の通信が、サイトのプログラムより前の段階で攻撃につながりうるとしています。サイトの持ち主が自分のプログラムを直しても、PHP本体が古いと防げない形です。国家サイバー統括室とWordPress.orgの公式の告知にも、パッチ適用が難しい場合は、サイトを一時的に止めることを検討する、と書かれています。各社の判断の理由は、告知に書かれていない限り、このページでは推測しません。

公式に確認できたこと、まだ確認できていないこと

今回の話題は、公式の発表と、セキュリティ各社の主張が混ざって広がっています。ここでは出どころごとに分けます。

公式（PHP・JPCERT/CC・IPAなど）で確認できたこと

2件の欠陥は、番号（CVE。世界共通の欠陥の管理番号）がCVE-2026-109618とCVE-2026-109619です。深刻度の点数（CVSS v4.0。最大10の点数）は、どちらも9.2です。
修正されたのはPHP 8.5.12、8.4.27、8.3.36、8.2.35です。公式の情報では、これらより前の版が影響を受けます。
リスクがあるのは「Webリクエストを処理するすべてのPHP」です。具体的には、PHPをサーバーで動かす主な方式（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が挙げられています。
なかでもApacheのmod_phpが最も危険とされ、ログインしていない外部からの通信で、サイトのプログラムが動き出す前に攻撃が起きうる実証があるとされています。
PHP 8.1以前には、PHPプロジェクトからの更新は出ていません（公式の告知文は8.1以前としてまとめており、PHP 5には触れていません。PHP 5・7向けの正式な修正版はありません）。PHPのセキュリティチームは、7.4・8.0・8.1向けに最小限の修正のブランチを用意したと書いていますが、配布される正式な更新ではありません。OSやサポート会社が独自に修正を出す場合がある、とも書かれています。
JPCERT/CC（国内の注意喚起機関）は22日に注意喚起を公開し、更新を「強く推奨」しています。ここには、実際に悪用されているという確認情報は書かれていません。また、更新できない場合の緩和策は「特定の攻撃経路への対処にとどまる」とし、対策は更新だけとしています。侵害を受けていないかを調べる確認項目も示されていて、複数の悪用経路があるため、単一の検知ルールでは全攻撃を検出できず、痕跡が残らない場合もある、と注意しています。
IPA（情報処理推進機構）も22日に注意喚起を公開しました。21日の事前の発表では「攻撃は確認していない」としていましたが（修正版の公開前の発表です）、22日のページには実際の攻撃の観測や被害の記述はありません。PHP 8.1以前は修正が提供されないとし、更新できるまでの間は、アクセス制限などの暫定対策を検討するよう求めています。維持する余裕がない場合は、移行や公開終了も含めて検討するよう書いています。

各社・報道の主張で、公式には確認できていないこと

「PHP 5以降すべてが対象」という話。IPAの22日の注意喚起は、調査に関わったWizの説明として「PHP 5.4以降のバージョンは、いずれかの影響を少なくとも受ける」と書いています。21日の事前の発表では、欧州のCERT-EUの情報として「PHP 5以降」と引用していました。ただし、14時55分に確認したCERT-EUのページには、PHP 5の記載はなく、8.1以前をサポート終了の版として挙げています。PHPの公式が書いているのは「8.2.35などより前」までです。
「攻撃コードが漏れた」という話。情報が公式の公開前に出回ったことは、複数の会社が伝えています。しかし、攻撃に使えるコードそのものが漏れたかどうかについては、Tenableが、PHPのセキュリティチームの発言として「漏洩後に出回ったPoC（攻撃の概念実証コード）を確認し、公開の時点で動作する攻撃コードは見つけていない」と伝えています（PHP側の一次の発言は未確認）。一方で、GMO Flatt Securityは「悪用できると主張するコードがインターネット上に出回り始めている」と書き、Tenableは「動くかどうかは検証されておらず、マルウェア入りの偽物の可能性もある」と注意しています。どちらも「主張されているコード」の話で、本物が出回ったと確認した記述ではありません。
「すでに攻撃が始まっている」という話。watchTowrは、21日付のFAQに「自社の囮のサーバーで悪用を観測した」と書いています。Tenableは、Cloudflareの最高技術責任者が21日に、初期の攻撃が出てきていると述べたことと、Amazonの脅威情報チームが「広く悪用されている」と述べ、同時に、21日の試みが実際のシステムで成功したかは不明としていることを伝えています（どちらもTenable経由で、各社の一次の発表は未確認）。一方、Huntressは21日午後4時30分（米東部時間）時点で、自社の環境では確認していないとしています。具体的な件数や、実際に侵入された例は、これらの記述にありません。CISA（米国のサイバー防衛機関）の悪用済み脆弱性リストにも、この2件は載っていません（確認したリストのデータは21日23時すぎのもので、直近の追加は10月20日分です）。
「インターネットの7割に影響」という数字。Wizの発表の見出しに「70%」があり、W3Techsの69.3%に近い数字です。ただし69.3%は「PHPを使っているサイトの割合」で、「今回の欠陥で危険なサイトの割合」ではありません。修正されていない版のサイトがどれだけあるかは、今回の調べでは確認できませんでした。
AIで見つけたという話。Wizは、AIを使って欠陥の発見や攻撃の確認をしたと説明しています。これはWiz自身の説明で、第三者の確認は見つかっていません。AIのせいで脆弱性が増えたかどうかも、比べるデータがなく分かりません。

まだ分かっていないこと

実際に侵入された例（被害）が確認されたかどうかは、15時10分時点では分かりません。国内で、この欠陥による侵害を公表した組織の告知は、今回調べた範囲では見つかりませんでした。公開前の情報が、誰によって、どのような形で広まったのかも、公式の資料からは分かりません。また、日本国内でどのバージョンのPHPがどれだけ使われているかの公的な数字も、見つかりませんでした。コドモンやDMMのように、告知にPHPと書かれていない停止の理由は、各社が書いた範囲を超えては分かりません。

サイトを持っている人が確認すること

『WordPress』のサイトを持っている人は、WordPress本体の更新が必要か気になるところですが、WordPress.orgは「WordPressの更新は不要で、予定もない」と書いています。問題はPHP側にあり、PHPを使うサイト全般が対象です。レンタルサーバーを使っている場合は、次の順で確認します。

契約しているサーバー会社のお知らせで、PHPの修正版を適用したか確認します。上の表のとおり、会社側が全サーバーに適用し、利用者の対応は不要としているところもあります。
サーバーのコントロールパネル（管理画面）で、使っているPHPのバージョンを見ます。WordPressの場合は、管理画面の「サイトヘルス」でも見られます。
8.1以前を使っている場合は、PHPプロジェクトからの更新がありません。サーバー会社が独自に修正を出していないか、お知らせを確認します。

PHP公式は、設定で一部の経路のリスクを下げる回避策（たとえばセッションのupload progress機能をオフにするなど）を挙げています。ただし、「回避策は特定の経路のリスクを下げるだけで、安全にはならない」とし、確実なのは更新だけだと書いています。JPCERT/CCも同じ見解です。回避策だけで済ませないでください。

昔にもあった「PHPの入り口の欠陥」と、古いPHPが残る問題

PHPの重大な欠陥が話題になるのは、今回が初めてではありません。PHPで繰り返し話題になった例として、2012年と2024年のものがあります。日本語の環境が対象になったと確認できるのは、2024年のものです。

2012年のCVE-2012-1823（php-cgiの欠陥）

2012年5月に公表されたCVE-2012-1823は、php-cgiという方式で、サイトに送られた情報の扱いに不備があり、命令を差し込まれて任意のプログラムを実行されるおそれがあった欠陥です。PHP 5.3.12と5.4.2より前が対象でした。mod_phpやphp-fpmの構成は対象外とされています（米国のCERTの情報）。この修正は不完全で、すり抜ける方法が見つかり、5.3.13と5.4.3で直されました。

2024年のCVE-2024-4577（日本語の環境も対象）

2024年6月に修正されたCVE-2024-4577は、台湾のセキュリティ会社DEVCOREが報告しました。Windowsが文字を変換するときの動きを見落としていて、2012年の対策をすり抜けられた、とDEVCOREは説明しています。DEVCOREが直接影響を確認した地域設定は、繁体字中国語・簡体字中国語・日本語でした。

修正の公開の2日後（6月8日）から、ランサムウェア（データを人質にして金銭を要求するウイルス）の集団が悪用を試みていると、Impervaが報告しました（2024年6月）。日本でも、少なくとも2025年1月から、複数の業種の組織がこの欠陥を入り口にした攻撃を受けたと、Wizの脅威データベースがCisco Talosの報告として伝えています（Talosの一次資料は未確認）。IPAも今回の事前の注意喚起で、2024年7月のCVE-2024-4577への攻撃に触れています。

2012年、2024年、今回は、それぞれ別の欠陥です。原因が同じとは言えません。ただし、2024年の欠陥は「2012年の対策のすり抜け」と説明されていて、PHPで昔の対策を新しい形で破られた例ではあります。今回の違いは、条件の広さです。2024年は「Windows、日本語などの地域設定、CGI」という限られた環境でしたが、今回の公式の説明では「Webリクエストを処理するすべてのPHP」が対象です。

サポートが終わったPHPが、今も動いている

今回の修正は8.2〜8.5だけで、8.1以前は更新がありません。PHPには、一定の年数が過ぎたバージョンのサポートを終える決まりがあります（EOL。End of Life、寿命の終わり）。PHP 5.6は2018年末、7.4は2022年11月、8.0は2023年11月、8.1は2025年末にセキュリティサポートが終わっています。8.2も2026年12月31日に終わる予定です。

それでも、W3Techsの2026年10月21日の統計では、PHPを使うサイトの27.0%がPHP 7、7.7%がPHP 5、0.1%がPHP 4でした。これは世界の数字で、日本の数字ではありません。PHP 8の65.2%にも、サポートが終わった8.0・8.1が含まれます。IPAも今回の注意喚起で「サポートが切れたPHPを使うサイトがある」と書いています。2024年の欠陥でもDEVCOREが「8.0以前はサポート終了で修正がない」と書いていて、同じ構図が繰り返されています。今回、mixhostは、サポートが終わった古い版にも、CloudLinuxの修正パッケージで対応したと告知しています。

これから見ておく点

実際に侵入された例が確認されるか（CISAの悪用済み脆弱性リストへの掲載や、各社の観測）。watchTowrなどの「攻撃を観測した」という主張の裏づけも含みます
エックスサーバーの公式サイト、ロリポップ！のサービスサイト、ニコニコの残りのサービス（ニコニコ静画など）、ConoHaなど、まだ再開や完了の告知が確認できていない各社の再開
8.1以前のPHPを使うサイトに、サーバー会社や配布元の修正版がどう届くか
首相や国の機関による、こうした呼びかけが今後も続くか

サービスが見られなくなる話では、『ジオシティーズ』や『Flash』はなぜ見られなくなったのかもあります。こちらは一時停止ではなく、サービス自体が終わった例で、今回の「止まったあと再開する」ケースとの対比になります。

出典

一次（公式・公的機関・各社の告知）

報道・各社の発表（公式の確認がないもの）