【無料】【速報】【PHP緊急続報】すでに攻撃が始まっていた！攻撃元はどこ？修正版公開後に起きる「本当の危機」を徹底分析。

「PHPの修正版が出た。これでもう安心？」

残念ながら、話はそう簡単ではありません。

2026年10月21日、世界中のWebサイトを揺るがしたPHPの重大な脆弱性。

深刻度9.2の欠陥が2件発見され、日本でもゲームやネットサービスの緊急メンテナンスが話題になりました。

そして、ここに来て新たな事実が明らかになっています。

セキュリティ企業Cloudflareが、実際に攻撃を試みる通信を観測していたのです。

しかも攻撃者は、防御を回避しようと攻撃内容を変化させていたといいます。

「一体、どこの国から攻撃されているのか？」

「もう乗っ取られたサイトはあるのか？」

「修正版が出たのに、なぜまだ危険なのか？」

今回は前回の記事の続報として、PHP公式、Cloudflare、Wiz、OpenAIなどの発表をもとに、さらに踏み込んで分析します。

1．【最新】PHP公式が修正版を公開

まず、確定した情報から。

2026年10月21日、PHP公式は重大な脆弱性を修正した新しいバージョンを公開しました。

今回の対象となる脆弱性は、

CVE-2026-109618

CVE-2026-109619

の2件です。

どちらも深刻度はCVSS v4.0で9.2。

攻撃条件がそろうと、ログインしていない第三者が、遠隔からサーバー上で不正なコードを実行できる恐れがあります。

このような問題を「リモートコード実行」、略してRCEと呼びます。

PHP公式が公開した修正版は以下のとおりです。

・PHP 8.5系 → 8.5.12

・PHP 8.4系 → 8.4.27

・PHP 8.3系 → 8.3.36

・PHP 8.2系 → 8.2.35

PHP公式は、すべてのPHP利用者に速やかな更新を強く推奨しています。

今回、特に重要なのは「完全な代替対策はない。更新が必要」という公式の警告です。

ファイアウォールだけを設定しても、更新の代わりにはなりません。

2．【新事実】攻撃を試みる通信が観測されていた

今回の続報で、最も重要なのがこの情報です。

世界的なセキュリティ企業Cloudflareは、10月21日の公式ブログで、PHPの脆弱性を狙う攻撃通信を観測したと公表しました。

さらに、攻撃者が防御を回避しようと、攻撃に使う通信内容を変えていたことも説明しています。

これは、単なる机上の危険性ではありません。

少なくとも、実際のインターネット上で脆弱性を悪用しようとする動きが確認されたということです。

ただし、ここは誤解しないでください。

「攻撃通信を観測した」ことと、「サーバーへの侵入に成功した」ことは別です。

Cloudflareの公表情報だけでは、世界全体で何件の侵害が成功したのかまでは確定できません。

それでも、攻撃が試みられていたという事実は、サイト運営者にとって重大です。

3．攻撃元はどこの国？中国？ロシア？北朝鮮？

SNSで気になるのは、やはりここではないでしょうか。

「一体、誰が攻撃しているのか？」

結論から言います。

現時点で、今回の攻撃元を特定の国や組織だと断定できる一次情報は確認できません。

なぜでしょうか。

インターネット上の攻撃は、必ずしも攻撃者本人のパソコンから直接行われるわけではないからです。

例えば、

攻撃者の端末

↓

別の国にある中継サーバー

↓

さらに別のクラウドサーバー

↓

標的のWebサイト

という経路を通ることがあります。

その場合、標的サイトの記録に残るIPアドレスは、中継地点のものかもしれません。

仮にIPアドレスの所在地が米国だったとしても、攻撃者が米国にいるとは限らないのです。

また、他人のサーバーを乗っ取って攻撃の踏み台にする場合もあります。

そのため、セキュリティ調査では、IPアドレスだけでなく、攻撃手法、通信内容、使用されたツール、過去の活動との類似性などを組み合わせて分析します。

「どこの国のIPから来たか」と「誰が攻撃したか」は、別の問題なのです。

今回の事件についても、国名を挙げた憶測をそのまま信じないようにしたいところです。

4．攻撃はどこから入ってくるのか？

次に、技術的な意味での「攻撃の入口」を考えてみましょう。

今回の脆弱性は、Webサイトのアプリだけでなく、PHPそのものの内部に存在していました。

PHPは、WordPressなどのWebサイトを動かすために使われるプログラミング言語です。

通常、利用者がWebサイトにアクセスすると、サーバーはそのリクエストを受け取り、必要に応じてPHPで処理します。

今回問題となった欠陥では、特別に細工されたWeb通信によって、PHPの内部処理に問題を引き起こす可能性があります。

そして条件によっては、攻撃者がサーバー上で不正なコードを実行できてしまいます。

ここが怖いところです。

WordPressの管理画面にログインしなくても、攻撃が成立する可能性があるのです。

PHP公式は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、PHPでWebリクエストを処理する環境に注意を呼びかけています。

特にmod_phpについては、アプリケーションのコードが動く前に攻撃が成立する実証例があると説明しています。

つまり、WordPressのプラグインを更新するだけでは対策にならない場合があります。

根本的には、サーバー側のPHPを安全なバージョンへ更新する必要があります。

5．すでに被害は出ているのか？

ここは、慎重に分けて考える必要があります。

今回確認できた情報には、少なくとも3種類あります。

① 脆弱性の存在が確認された

これは確定しています。

PHP公式が修正版を公開しました。

② 実際の攻撃通信が観測された

これもCloudflareが公式に公表しています。

③ 攻撃によって侵害されたサイトの総数

こちらは、今回確認した情報だけでは確定できません。

海外では、政府機関や公共サービスのWebサイトが予防的に停止されたことも報じられています。

しかし、サイトが停止したからといって、攻撃に成功されたとは限りません。

むしろ、更新が終わるまで安全のために停止することもあります。

現時点で大切なのは、**「攻撃の試みは確認されているが、被害規模の全容はまだ分からない」**という理解です。

6．なぜ修正版が出た後も危険なのか？

今回、特に注目したいのがこの点です。

一般的には、修正版が公開されると安心したくなります。

しかし、セキュリティの世界では、修正版の公開後にも注意が必要です。

理由は3つあります。

理由① 修正版を適用していないサーバーが残る

PHPは、世界中のさまざまなサーバーで使われています。

企業のシステム。

個人のブログ。

ネットショップ。

古い業務アプリ。

すべての管理者が、同じタイミングで更新できるわけではありません。

特に古いシステムでは、更新によって別の機能が動かなくなる可能性もあります。

そのため、更新が遅れるサイトが出てくることは十分考えられます。

理由② 修正版の分析から攻撃方法が研究される

修正版が公開されると、研究者は変更されたプログラムを確認できます。

これは防御のためにも重要です。

一方で、攻撃者が変更点を調べ、まだ更新していないサーバーを狙う可能性もあります。

これは一般に「パッチ解析」と呼ばれる動きの一部です。

今回も、今後の攻撃活動を考えるうえで注意したいポイントです。

理由③ 古いPHPを使い続けるサイトがある

PHPには、バージョンごとにサポート期間があります。

今回の修正版が公開されたからといって、すべての古いPHPに修正が提供されるわけではありません。

古い環境を使っている場合は、サーバー会社や開発担当者と相談し、サポートされるバージョンへの移行を検討する必要があります。

修正版の公開はゴールではなく、更新作業のスタートなのです。

7．今後72時間、何が起こる可能性がある？

ここからは、確認済みの事実ではなく、今回の状況をもとにした見通しです。

今後24時間：更新と緊急メンテナンスが進む可能性

企業やサーバー会社が、修正版の適用と動作確認を進めると考えられます。

一部サービスでは、予防的なメンテナンスが続く可能性があります。

今後48時間：未更新サーバーへの攻撃が増える可能性

修正版が公開され、脆弱性の情報が広がるにつれて、未更新のサーバーを探す動きが活発になる可能性があります。

ただし、実際に攻撃件数が増えるかどうかは、今後の観測データを確認する必要があります。

今後72時間：被害調査と追加の注意喚起

サーバー管理者やセキュリティ企業がログを分析し、侵害の有無を調べる動きが進むと考えられます。

新たな被害報告や、追加の防御策が公表される可能性もあります。

一方、修正版の適用が順調に進めば、リスクを下げることができます。

これは未来の確定情報ではなく、セキュリティ対応の一般的な流れを踏まえた予測です。

8．Cloudflareはどうやって防いでいる？

今回、防御側で重要な役割を果たしているのがCloudflareです。

Cloudflareは、Webサイトへの不審なアクセスを検知・遮断するWAFという仕組みを提供しています。

WAFとは、Web Application Firewallの略です。

簡単に言えば、Webサイトの前に立つ警備員のようなものです。

今回Cloudflareは、PHPの脆弱性を狙う攻撃に対して、専用の防御ルールを展開しました。

しかも、攻撃のリクエストだけでなく、サーバーからの応答も組み合わせて分析する新しい検知方法を活用したと説明しています。

これは、通常のアクセスと攻撃を区別するためです。

Cloudflareによると、日本時間10月21日12時02分から、無料・有料のWAF利用者向けに保護が標準で有効化されました。

ただし、重要な注意点があります。

Cloudflareの防御を利用していても、PHPの更新は必要です。

WAFは攻撃のリスクを下げるための防御策ですが、PHPそのものの欠陥を修正するわけではありません。

9．実は今回、AIが事件の中心にいた

今回のPHP騒動には、もうひとつ大きな特徴があります。

それは、AIが脆弱性の発見に深く関わっていたことです。

OpenAIは10月21日、セキュリティ研究者やPHP開発チームなどと協力した「Patch the Planet」という取り組みについて発表しました。

セキュリティ企業Califは、GPT-5.6 Solを活用した調査で重大な欠陥を発見したとされています。

さらに、Google傘下のWizも独立して脆弱性を発見しました。

Wizは、Gemini 4 ArgonやGPT-5.6 SolなどのAIモデルを調査に活用したと説明しています。

Wizが公開した経緯によると、最初の脆弱性を発見したのは8月19日。

8月24日にはPHPのセキュリティチームへ報告しています。

つまり、今回の問題は10月21日に突然見つかったわけではありません。

研究者と開発者が、公開前から修正に取り組んでいたのです。

ここで考えたいのは、AIの進化がサイバーセキュリティに与える影響です。

これまで発見が難しかった欠陥を、AIが見つけやすくなる。

防御する側にとっては、大きなメリットです。

しかし、同じ技術が悪用されれば、攻撃の準備が速くなる可能性もあります。

AIが守る側にも、攻撃する側にも影響する時代。

今回の事件は、その変化を象徴しているのかもしれません。

10．WordPress・ネットショップ運営者が今すぐ確認したいこと

最後に、実際の対策です。

自分でWebサイトを運営している場合は、次の項目を確認してください。

① PHPのバージョン

レンタルサーバーの管理画面や、管理会社への問い合わせで確認します。

② 修正版が適用されているか

PHP公式が公開した修正版、またはサーバー会社が提供する修正済みパッケージが適用されているか確認します。

③ サーバー会社の公式発表

自動更新されるのか、利用者側で設定変更が必要なのかを確認しましょう。

④ 不審なアクセスやファイル変更

サーバー管理者は、アクセスログやエラーログ、予期しないファイル変更などを確認してください。

⑤ バックアップと復旧手順

更新前にバックアップを確認し、必要な動作テストを行いましょう。

⑥ 古いPHPからの移行

サポートが終了したPHPを使っている場合は、長期的な更新計画が必要です。

なお、すでに侵害が疑われる場合は、むやみにログやファイルを削除せず、専門家やサーバー提供会社へ相談してください。

まとめ｜本当に怖いのは「更新されないサーバー」

今回のPHP騒動は、単なるプログラムの不具合ではありません。

世界中で使われる基盤ソフトウェアに重大な欠陥が見つかり、攻撃の試みも観測されました。

そして、修正版が公開された今、重要なのは実際に更新を適用することです。

今回の調査で確認できたことは、次のとおりです。

・PHPの重大な脆弱性2件に対する修正版が公開された

・Cloudflareは実際の攻撃通信を観測している

・攻撃者が防御を回避しようとする動きも確認された

・攻撃元の国や組織は、現時点で特定できていない

・被害の全容も、まだ確定していない

・今後は未更新サーバーへの攻撃に注意が必要

・AIが脆弱性の発見に重要な役割を果たした

ここで忘れたくないのは、「修正版が出た」ことと「自分のサイトが修正された」ことは違うという点です。

今回のニュースをきっかけに、自分が利用しているサービスやWebサイトの安全性を見直してみてはいかがでしょうか。

あなたのサイトは大丈夫でしたか？

WordPressやレンタルサーバーを利用している方は、PHPの更新状況を確認できましたか？

「さくらのレンタルサーバーを使っている」

「エックスサーバーだけど何をすればいい？」

「自分のサイトが対象なのか分からない」

そんな疑問があれば、ぜひコメントで教えてください。

今後、新たな被害情報や攻撃状況が確認された場合は、続報として整理していきたいと思います。

記事が参考になったら、スキとフォローで応援していただけるとうれしいです。

参考資料・一次情報

PHP公式（修正版とセキュリティ情報）
https://www.php.net/

Cloudflare公式（攻撃通信の観測と防御）
https://blog.cloudflare.com/php-vulnerabilities-waf-protection

Wiz公式（脆弱性の詳細と発見の経緯）
https://www.wiz.io/blog/php2shell-php-rce

OpenAI公式（Patch the Planet）
https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/

IPA（情報処理推進機構）
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html

※本記事は2026年10月21日に公開された情報をもとに作成しています。攻撃元の特定や被害規模について、未確認の情報を事実として扱わないよう注意しています。今後の72時間についての記述は予測であり、実際の展開を保証するものではありません。

ビジハックマスター｜会社員の「壁」攻略本