第14回

警鐘：世界で起こっているPHP問題は「終わりの始まり」

株式会社フリーウェイジャパン井上達也

2026年10月23日

警鐘：世界中で起こっているPHP問題は「終わりの始まり」

　　　　　　　　　　株式会社フリーウェイジャパン　代表取締役　井上達也

これを書いている2026年10月22日現在、当社ではいくつかのシステムを緊急停止している。

理由は、世界中で使われている「PHP（ピーエイチピー）」というプログラミング言語に、極めて重大な欠陥が見つかったからだ。私は今回の問題を、ここ10年で最大級のインターネットの危機だと考えている。

そもそもPHPとは何か

PHPは、インターネット上のサービスを動かしているプログラミング言語の一つだ。企業のホームページ、ネットショップ、会員制サイト、予約システム、社内の業務システム。その多くが裏側でPHPを使っている。ホームページ作成ソフトとして有名な「WordPress（ワードプレス）」も、PHPで動いている。

欠陥を見つけたセキュリティ企業によれば、世界のウェブサイトの約7割がPHPを使っている。一部のIT企業だけの話ではないのだ。

何が起きたのか

● 発見：アメリカのセキュリティ企業「Wiz（ウィズ）」。欠陥は「PHP2Shell」と名付けられた。

● 何が危ないのか：悪用されると、外部の第三者がパスワードなしでサーバーを乗っ取ったり、中の情報を盗み見たりできる可能性がある。

● いつからあったのか：10年以上前から潜んでいた。過去10年ほどのPHPは、ほぼすべてが影響を受けるとされる。

● 修正はいつ出たのか：日本時間の10月21日午後11時に、修正版が公開された。

政府の国家サイバー統括室が注意喚起を出し、高市首相もXで、修正版を速やかに適用し、難しければウェブサイトの一時停止も有効だと呼びかけた。首相が企業に深夜の対応を求めるのは、異例のことだ。これを受けて、国内の大手サービスが次々と緊急メンテナンスに入った。

IPA（情報処理推進機構）によれば、公表時点で実際の攻撃は確認されていない。しかし、修正版の公開で欠陥の場所は攻撃者にも知られた。IPAは、極めて短時間で攻撃が行われる可能性を指摘している。本当に危ないのは、むしろこれからなのだ。

それでも「他人ごと」になっている

首相が呼びかけ、大手サービスが一斉に止まった。それでも、自分の会社のこととして受け止めている経営者は、まだ少ないように見える。

しかし、これは単にホームページが表示されなくなる話ではない。顧客情報が盗まれる。システムが乗っ取られる。ネットショップが営業できなくなる。事業の継続そのものが難しくなる企業も出てくるかもしれない。決して大げさな話ではない。

これまでのサイバー攻撃とは違う

これまでのサイバー攻撃は、特定の企業や個別のシステムが狙われるケースが多かった。しかし今回は、世界中の企業が共通して使う「プログラミング言語そのもの」に欠陥が見つかった。

例えるなら、一軒の家の鍵が壊れていたのではない。世界中の住宅で使われている同じ種類の鍵に、泥棒が開けられる欠陥が見つかったようなものだ。どんなに丁寧に建てた家でも、同じ鍵を使っていれば危ない。しかも、自社のシステムがPHPで作られていることを知らない経営者は、決して少なくないだろう。

さらに、修正版が出ても、すべてのシステムをすぐに直せるわけではない。古いシステムでは、修正版を入れると動かなくなる場合がある。世界中で一斉に対応が必要になれば、技術者も足りなくなる。危険だと分かっていても、すぐには直せない会社が出てくるのだ。

まず会社が確認すべきこと

「うちは関係ない」と思っている担当者や経営者こそ、次のことを確認してほしい。

● 自社のホームページや業務システムに、PHPが使われているか。

● システムの保守や管理を担当している会社はどこか。

● その会社は、今回の問題への対応を済ませているか。

● レンタルサーバーを使っている場合、サーバー会社からのお知らせが届いていないか。

管理会社には、次のように聞くこと。

「10月21日に公開されたPHPの修正版は、当社のシステムに適用済みですか？　まだなら、いつ対応してもらえますか？」

なお、WordPressを最新版にしても、今回のPHPの問題は解消されない。土台のPHPそのものを更新する必要がある。

「外部の会社に任せているから大丈夫」という考え方も危うい。任せていることと、安全であることは別問題である。

自社のシステムに何が使われているのか。誰が管理しているのか。緊急時に誰が対応するのか。担当者は最低限、それだけでも把握しておく必要がある。

危険がある場合は、止める勇気も必要だ

システムを動かし続ければ、情報漏洩や不正アクセスの危険がある。止めれば、売上が減り、お客様にも迷惑をかける。

当社も、いくつかのシステムを停止した。簡単な決断ではなかったが、事故が起きてからでは取り返しがつかない。直せるものはすぐに直す。直せないものは、いったん止めて守る。判断の目安は、次のとおりだ。

● 修正版の適用が確認できた：止める必要はない。

● まだ修正版が入っていない：システムの中身に問題がなくても攻撃されうる。早急に修正するか、一時停止を検討する。

● 対応状況が分からない：まず管理会社に確認する。連絡がつかなければ、止めることも選択肢に入れる。

PHPの開発チームは応急処置も示しているが、それは危険を減らすだけで、安全にするものではないと明言している。根本的な解決は、修正版への更新しかない。

止める場合は、システム会社と相談しながら、次の流れで進めるとよい。

1. 問題のあるシステムやサービスを一時停止する

2. 利用者に状況を説明し、告知する

3. 修正を行い、安全を確認する

4. サービスを再開する

特に危険なのは、こんな会社

① 昔作ったシステムを、そのまま使い続けている会社

動いているから問題ないと思いがちだが、古いシステムほど修正が難しい。

② システム会社と保守契約を結んでいない会社

問題が起きても、誰に相談すればよいのか分からない。

③ 開発した会社が、すでに存在しない会社

システムの中身を理解している人を探すところから始めなければならない。

④ 開発担当者が退職してしまった会社

複雑なシステムでは、解析しするだけでも相当な時間がかかる。

⑤ 多くの顧客を抱えるシステム会社に頼っている会社

あるシステム会社が100社の顧客を抱えていたとする。100社を同時に修正するのは現実的に不可能で、順番待ちが発生する。その間、システムを止めざるを得ない会社も出てくるだろう。

⑥ PHPを簡単に更新できないシステムを使っている会社

古いPHPでしか動かないシステムでは、全体の改修が必要になることもある。多額の費用と時間がかかれば、セキュリティ対策ではなく経営問題になりかねない。

⑦ 便乗した営業や偽の連絡に飛びつく会社

考えすぎかもしれないが、騒ぎの後には、不安をあおるメールや心当たりのない「無料診断」の勧誘が必ず出てくる。相談するなら、普段から付き合いのある会社やDX診断士に聞いてみるのもひとつの方法だ。

本当に恐ろしいのは、今回のPHP問題ではない

ここからが、私の一番言いたいことである。今回のPHP問題は、修正が進めばいずれ収束するだろう。しかし私は、この事件を時代の転換点だと考えている。

なぜなら、今回の欠陥はAIの力を借りて見つかったからだ。

発見したWizは、GoogleやOpenAIの最新AIを使って調査を進めた。AIは、欠陥の発見から修正の検証まで、大きな役割を果たしたという。欠陥は10年以上前からあったが、悪用までの手順があまりに複雑で、人間の専門家では手が届きにくかったという。Wizは、世界トップクラスの専門家チームが何か月もかけていた作業を、AIの助けで研究者1人が1週間でやり遂げたと述べている。そして今回の事件を、「AI時代の転換点」になりうると位置づけている。

AIは、守る側だけが使うわけではない。攻撃する側も、同じAIを使うことができる。Wiz自身も、これまで「現実には悪用できない」と思われていた欠陥が、狙われる対象に変わると警告している。

AIが欠陥を見つけ、AIが悪用方法を探す。守る側が修正し、攻撃する側はまた新しい欠陥を探す。このいたちごっこが、かつてない速さで繰り返されるかもしれない。

しかも、これは今回だけの問題ではない。銀行、病院、行政機関、航空会社、通信会社、電力会社。私たちの社会は、何十年も前に作られた無数のプログラムに支えられている。その中に眠る欠陥が、AIによって次々と掘り起こされたら、どうなるのだろうか。

「動いているから大丈夫」という時代は終わる

私は長年、ソフトウェアの開発に携わってきた。システムは完成したら終わりではない。むしろ、完成してからが始まりなのである。

昨日まで安全だったシステムが、今日突然、危険なシステムに変わるかもしれない。自分の会社では、何一つ変更していないのに、である。
今後、経営者はシステムを「作る費用」だけでなく、「安全に使い続ける費用」まで考えなければならない。正常に動いているシステムを捨て、作り直す決断が必要になる場面もあるだろう。これは、インターネットを使ってビジネスをする、すべての企業の経営課題だ。