PHPとは？PHP重大欠陥問題

その他

こんにちは！

いま世間を騒がせている「PHPの重大な欠陥問題」。（２０２６年１０月）

わかりやすい動画があったのでこちらを参照。

では、PHPって一体なんなのか？そして重大欠陥はなんだったのか、また対策はどうするのかを見ていきます。

PHPって一体なんなの？

一般的には、「主にWebサイトやWebアプリケーションの開発に特化して作られた、世界中で最も広く使われているプログラミング言語の一つ」です。

動画によると、PHPとは「サイトの裏側で動いている”画面を作る係”」のようです。

サイトを開くたびに、サーバーの中でPHPが動き、データを取って画面を組み立てて、画面が返ってくる仕組みです。

このPHPの仕組みを使っているサイトは、世界中のサイトの「約７割」なんだとか。

これだけ広く使われているので、影響が出たらとんでもないことになりますね。（実際に影響出た）

欠陥は普段どのくらい出るの？

動画によると、年に１〜２回、７ヶ月に１回ぐらいのペースで出るようです。

・２０２３年　１回

・２０２４年　３回

・２０２５年　０回

・２０２６年５月　２回

・今回（２０２６年１０月）　２回

どんな欠陥なの？

動画によると、PHPのエンジンの層で起きた欠陥のようです。

サーバー本体でもサイトのプログラムのせいでもありません。

今回は、PHP中心部のアクセスを受けて片付ける仕組みそのものが欠陥だったのです。

その重大な欠陥が２件起き、情報漏洩や最悪の場合は乗っ取られてしまうのです。

激ヤバですね。

今回は通常と何が違うの？

動画によると、通常の場合→研究者が欠陥を見つける（いきなり公開しない）→開発チームにこっそり報告（直す時間を渡す）→直せた日にみんなで公表

という手順で公開されるので、欠陥が見つかっても公開される頃には既に直っている状態なのです。

しかし今回は、開発チームが修正版を公開する前に、情報が先に漏れて、慌てて修正版を公開する羽目になりました。

今回の場合→研究者欠陥発見→開発チームにこっそり報告、修正版を制作開始→公開直前に情報が先に漏れる→前倒しで修正版を公開←イマココ

この情報が漏れて修正版を公開するまでの時間に、集中的にサイバー攻撃をされるのがまず問題で、早急に対策をしなければなりません。

対策（サイトやブログを運営している個人・企業）

サイト・ブログを運営している個人・企業は、信用に関わる大問題なので、ほとんど緊急メンテナンスに入っています。

１、PHPの早急アップデート・早急更新

PHPにはバージョンがあり、更新によって修正プログラムを導入できるようなので、

できるだけ早くアップデート・更新をするべきです。

僕の場合、サーバー側で修正アップデートしてくれたようで１０月２２日夜に完了しています。

２、ブログのセキュリティを上げる

・ユーザー名とパスワード変更

・２段階認証導入

・バックアップを取る

・セキュリティプラグインを入れる

・ログイン通知を設定

・ログイン履歴の監視

・PHP編集機能の無効化

・総当たり攻撃の多層防御

・ファイアーウォールの設定

思いつくだけでこのくらいあります。

これら全てを実行したので、現在メンテナンスを解除して記事投稿しています。

正直まだ不安です。

３、セキュリティの勉強

「無知なことが一番危険」ということを強く思いました。

冒頭から対策の１のところまで、数日前まで何も知らないままブログを書いていました。

「他の人に迷惑をかける」←これが僕がやってはいけないことだと思っています。

そのためにセキュリティの勉強をして、すぐブログに反映させて安全を保つ努力をする。

今の僕ができる対策がこれになります。

対策（情報漏洩編・一般の人）

一般の人が気になる、情報漏洩に対しての対策を少し書いておきます。

１、パスワードを使い回さない・パスワード変更

いろんなサイトで会員登録をしてサービスを受けていると思いますが、

その際にパスワードを使い回していると、一つの漏洩で他のサービスに不正利用されてしまうので、

サイトごとにパスワードを変更し、手書きでメモを残す・パスワード管理アプリで管理するなどの対策をしておいた方が良いと思います。

２、不必要なサービスは退会する

不必要なサービスはログアウトするだけでなく、しっかりと退会処理しておくことです。

会社によってはデータが残る場合もあるようですが、少しでも情報漏洩を防ぐために必要です。

３、２段階認証を導入する

パスワードだけでなく、２段階認証を導入しておきましょう。

４、GoogleアカウントやAppleアカウントの確認

GoogleアカウントやAppleアカウントの確認をして、２段階認証やパスキーが有効になっているか確認・設定する。

まとめ

結局のところ、PHPのことはまだ少ししか掴めていません。

仕組みはなんとなくわかった気でいますが、なんとなくです。

攻撃側は、AIを使って効率的にサイバー攻撃をしてきます。

出来うる限りの現実的な対策で、今後もブログを書いていこうと思います。

あんまり参考にならないかもしれませんが、知るきっかけになればと思います🙇。