PHP脆弱性、海外では”政府サイトごと停止”も オランダの電子認証やWikipedia関連サービスなどにも影響 – ITmedia

世界中のWebサイトの約7割で利用されるプログラミング言語「PHP」に、深刻な脆弱性2件が確認されました。オランダやフィンランドなど各国の政府機関が行政サービスを予防的に停止する事態に発展しており、PHP公式は修正版の即時適用を呼び掛けています。

緊急対応を迫られた欧州各国の政府機関

PHPの脆弱性「CVE-2026-109618」および「CVE-2026-109619」の公表を受け、世界各地で予防的なシステム停止が相次ぎました。ITmediaの報道によると、特にオランダ政府の対応は広範囲に及び、行政ポータル「Overheid.nl」や個人データ確認サイト「MijnOverheid.nl」、認証基盤「DigiD」などが一時的に遮断されました。同国の国家サイバーセキュリティセンター（NCSC）は、自らのWebサイトさえも停止する措置を講じています。下院やデータ保護当局、ロッテルダム港、主要政党のサイトも影響を受けました。フィンランドでも、政府のITサービスを担うValtoriが、公開向けのネットサービスを全て予防措置として停止する決断を下しました。

政府・企業が推奨する「オフライン化」の判断

各国政府は、脆弱性を悪用した攻撃を回避するため、システムの停止という異例の判断を下しています。米国家安全保障局（NSA）は、即時の更新作業が困難なシステムに対し、対策が完了するまでオフラインにするよう勧告しました。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）も、修正版の速やかな適用を求めています。ホワイトハウスは10月21日、連邦機関や重要インフラ事業者に対し、PHPの利用状況点検と修正展開を急ぐよう連携を図っていることを明らかにしました。カナダのエバン・ソロモンAI・デジタル革新担当相も、一部サイトの一時停止をSNS上で公表するなど、北米から欧州にかけて対応が連鎖しています。

著名サービスに広がるメンテナンスの波

脆弱性の影響は政府機関にとどまらず、民間の主要サービスにも波及しました。仕事管理ツールの「Asana」やゲーム配信サービスの「GOG」が一時停止したほか、電子契約サービスの「Dropbox Sign」、画像掲示板「4chan」、イラスト投稿サイト「DeviantArt」などがメンテナンスを実施しました。Wikipediaを運営する米Wikimedia財団は、PHPの脆弱性への対応を進めていることをNewsweekに対し声明で明らかにしています。一方で、ブログサービス「WordPress.com」を運営する米Automatticは、同社がホストするサイトは既に保護済みであり、利用者が個別の対応を行う必要はないと説明しました。

Cloudflareが提供する応急的な防御策

セキュリティ対策の一環として、米Cloudflareは修正版の公開前から、脆弱性を突く不正な通信を検知・遮断するルールをWebアプリケーションファイアウォール（WAF）向けに配布しました。しかし、同社最高技術責任者（CTO）のデーン・クネヒト氏は、これが「あくまで応急措置」であると強調しました。初期の攻撃の試みが既に観測されていることから、本体のアップデートが不可欠であると呼び掛けています。今回確認された脆弱性の深刻度評価（CVSS v4.0）は、2件ともに9.2という高い数値が付けられています。

PHP開発チームによる修正版の公開と今後

PHP開発チームは、脆弱性を修正したバージョンとして「PHP 8.5.12」「8.4.27」「8.3.36」「8.2.35」を公開しました。今回の脆弱性は、攻撃者が認証なしで遠隔から任意のコードを実行できる恐れがあるため、全利用者に対して即時の適用が推奨されています。日本国内においても、修正版の公開に合わせて著名サービスが緊急メンテナンスを行うなど、警戒感が強まっています。

• CVE-2026-109618：認証なしで遠隔からコード実行が可能な脆弱性
• CVE-2026-109619：認証なしで遠隔からコード実行が可能な脆弱性
• 深刻度：CVSS v4.0でいずれも9.2

各国政府や企業による予防的な停止措置は、システムの更新が完了するまでの安全を確保するための判断ですが、社会的なインフラへの影響は依然として続いています。今後、各組織での修正適用が迅速に進むかどうかが、正常なサービス復旧への鍵となります。