PHP脆弱性で金融サービス停止…経営が問われる“再開判断”と6つの備え

PHPの何が危険？ 認証だけでは防げない理由

　PHPは、Webサーバ上での処理や、PC・スマートフォンに表示する画面の生成、データベースからの情報取得などに用いられるプログラミング言語だ。

　30年以上前に登場し、習得しやすいこともあって、調査会社W3Techsによれば世界のWebサイトの約7割（サーバ側の言語が判明しているサイトのうち）で使われているという。官公庁や企業のサイトはもちろん、パッケージ製品やネットワーク機器の内部にも組み込まれており、影響範囲は極めて広い。

　今回公表されたのは、メモリ不足時のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエスト処理に関連する脆弱性（CVE-2026-109619）の2つで、両者の組み合わせは「PHP2Shell」と呼ばれている。

　いずれも国際的な評価指標であるCVSS v4.0で9.2の「緊急」とされ、認証を経ることなく外部から任意のコードを実行される恐れがある。悪用されれば、サイトの改ざんや顧客情報の窃取、サービス停止といった致命的な被害につながり得る。

　ここで注目すべきは、問題がPHP本体にあり、特定のアプリケーションや製品の不具合ではない点だ。つまり、ログインが必要なサイトであっても、パスワードや多要素認証だけでは防げないのである。

　時系列を確認しておこう。IPA（情報処理推進機構）によれば、PHPの開発チームは日本時間10月21日23時にセキュリティリリースを公開する予定と事前に発表しており、IPAは同日、PHPを利用しているプログラムの棚卸しなど事前準備を呼びかけた。

　実際に修正版（8.5.12、8.4.27、8.3.36、8.2.35）が公開されたのは10月21日夜である。なお、公開前に脆弱性の存在を示す情報がSNSなどで先行して広がったことも知られているところだ。 【次ページ】金融サービスはなぜ一斉に止まったのか？