[ITmedia News] PHP脆弱性、海外では“政府サイトごと停止”も オランダの電子認証やWikipedia関連サービスなどにも影響

著者 林裕也

[ITmedia]

　Webサイトの約7割で使うとされるプログラミング言語「PHP」の「緊急」レベルの脆弱性2件を受け、海外でも政府や企業が対応を迫られた。オランダ政府は行政ポータル「Overheid.nl」など行政手続きに使うネットサービスを遮断。フィンランド政府も公開向けのネットサービスを全て停止するなど、10月21日から各国で予防的な停止が広がった。

修正版への即時更新を呼び掛けるPHP公式のセキュリティアドバイザリ（出典：PHP公式サイト）

オランダはサイバー当局自身も停止、欧米各国に波及

　米CNBCなどによると、オランダ政府はOverheid.nlと、国が持つ個人データを確認できる「MijnOverheid.nl」、認証基盤「DigiD」のサイトを予防措置として停止した。同国の国家サイバーセキュリティセンター（NCSC）は自らのサイトも止めた。下院やデータ保護当局、ロッテルダム港、サッカー協会KNVB、主要5政党、複数の病院もサイトを一時停止したという。

複数サイトの予防的な停止を知らせるオランダ政府の告知より

　フィンランドでは、政府のITサービスを担うValtoriが「予防措置」として公開向けのネットサービスを全て停止した。フランスは内務省が地方自治体の行政サイトを一時停止し、カナダではエバン・ソロモンAI・デジタル革新担当相が一部サイトの一時停止をXで明らかにした。オーストラリアでは通信情報局（ASD）傘下のサイバーセキュリティセンター自身が影響を受け、一部の政府サイトが一時使えなくなったほか、ドイツやデンマークの政府機関も予防的にサイトを止めた。

政府サイトの一時停止を知らせるソロモン担当相の投稿

米NSA「更新できないならオフラインに」

　米国では、サイバーセキュリティ・インフラセキュリティ庁（CISA）が修正版の速やかな適用を要請したほか、国家安全保障局（NSA）が「即時の更新が難しい場合は、対策が済むまでシステムをオフラインにすることを推奨する」とXで勧告した。

　ホワイトハウスは21日（現地時間）、ロイター通信などに対し「連邦機関や主要AI企業と連携し、修正の展開を急いでいる」との声明を出した。連邦機関のPHP利用状況の点検と、重要インフラ事業者の修正適用の支援を進めているという。

PHP利用組織にオフライン化も含めた対応を促すNSAの投稿

WikipediaやAsanaにも波及　Cloudflareは「応急措置」で防御

　著名サービスにも停止が広がった。米テックメディアのHow-To Geekによると、仕事管理ツール「Asana」やゲーム配信サービス「GOG」も一時停止したという。このほか、電子契約サービス「Dropbox Sign」や画像掲示板「4chan」、イラスト投稿サイト「DeviantArt」も、脆弱性対応のメンテナンスを実施した。

　Wikipediaを運営する米Wikimedia財団は「ほとんどのwikiを支えるPHPの脆弱性への対応を進めている。この問題はWikimedia固有のものではない」と米Newsweekに声明を出した。一方、ブログサービス「WordPress.com」を運営する米Automatticは、WordPress.comなどでホストするサイトは保護済みで、利用者側の対応は不要と説明している。

　こうした停止の動きと並行して、米Cloudflareは修正版の公開前に、脆弱性を突く不正な通信を検知して遮断するルールをWAF（Webアプリケーションファイアウォール）向けに配布した。ただ、同社最高技術責任者（CTO）のデーン・クネヒト氏は、初期の攻撃の試みを観測したとした上で、このルールは「あくまで応急措置」と述べ、本体の更新を促した。

米Cloudflare最高技術責任者クネヒト氏の投稿

　今回の脆弱性は「CVE-2026-109618」「CVE-2026-109619」の2件で、攻撃者が認証なしで遠隔から任意のコードを実行できる恐れがある。深刻度評価（CVSS v4.0）はいずれも9.2。PHPの開発チームは修正版のPHP 8.5.12／8.4.27／8.3.36／8.2.35を既に公開しており、全利用者に即時の適用を呼び掛けている。日本でも修正版の公開に先立ち、著名サービスが相次ぎ緊急メンテナンスに入っていた。