個人情報が盗み取られる事件が多発していることは、先日（2026年10月7日）のコラム「[1171]個人情報の流出、なぜ増えている？」（https://www.asuka-g.co.jp/column/2610/013127.html）

でご紹介ずみですが、今週はネット社会の全体及ぶセキュリティホールが見つかり、世界中がまさに蜂の巣をつついた状態となりました。

　すでにご存じの方も多いでしょうが、数日前から「PHPに重大な脆弱性」が見つかったと報道されています。

　PHPとは何だ？と思う方には青天の霹靂でしょうが、インターネット環境で動作するプログラム言語です。筆者も過去にはWordPressなどのWEBサイト設計では利用していました。プログラムを組んだつもりが「カギのかかっていない扉」や「誰でも侵入できる窓」が意図せず設置されていたとしたら大変なことになりまず。

　この脆弱性は「CVE-2026-109618」、「CVE-2026-109619」のふたつ。まとめて「PHP2shell」と呼ばれています。ひとつは2024年に認識されていましたが、対策が進んでいなかったとのこと。

　脆弱性名称　　－　　　発生する不具合
CVE-2026-109618－メモリー不足時の不整合がメモリー破壊につながる
CVE-2026-109619－エラー後に古いメモリーへの参照が残る
（PHP財団・公式サイトより）
Today's PHP Security Release, and How We're Strengthening PHP Security



　なお、2026年10月21日の時点では上記脆弱性への修正プログラム（修正パッチ）が公開されています。

PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)
（IPA：情報処理推進機構 2026年10月22日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

　SNS（Ｘ）で高市総理が対策を呼びかけたことで、その重大性が世間でも認知されました。また、これまでの経緯をまとめた報道も出始めています。

多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―
「PHPの深刻な脆弱性」対応で何が起きた？
全てのPHPが影響を受け、認証なしでリモートコード実行が可能に･･。攻撃者が既存のウェブサイトを書き換えたうえでアクセスしたユーザーに何らかの攻撃を加えたり、サーバー上のデータを窃取したりと、さまざまな悪意ある行為が可能になる･･･。
（INTERNET Watch 2026年10月22日）

　実はこれらの脆弱性「PHP2shell」は突然発見されたわけではなく、今年6月からスタートした脆弱性の検証過程で発見されていました。
　発見したのは「GPT-5.6 Sol」（OpenAI）でした。脆弱性の特定とその対策のため、発表のタイミングが10月になったようです。

　この件については筆者も利用しているChatGPT（GPT-6）に質問を投げかけてみました。
　その結果、より詳しく判明したことがあります。

１）脆弱性「PHP2shell」が解消されるのは、PHPバージョンが「8.5.12、8.4.27、8.3.36、8.2.35」。これより古いバージョン、独自保守の環境では個別に対策が必要。

２）修正プログラムよりも先に脆弱性「PHP2shell」を経路として侵入された場合、対策はされない。認証情報の書き換えや不正プログラムの設置については、各自で侵入経路を確認の上、システムの更新や復旧作業が必要。

３）PHPのシステム責任者各自で、インストール環境に応じた更新を強く推奨（PHP公式より）している。

　対策プログラムはいくつかのPHPバージョンでのみ有効であり、昔のバージョンのまま動作している環境は、各自で対策を行う必要があります。
　また、早急に対策を終えないと修正パッチの前に侵入されると対策は無効化します。

　実にやっかいな脆弱性ですが、AIの発達で今後もこのようなセキュリティホールが見つかる可能性があるそうです。
　便利なネット社会から一転、これからの私たちには、カードの不正利用、違法侵入、情報漏えいに悩まされながらWeb環境を使う日常がやってきたと理解するほかありません。（水田享介）