政府の助言に「サイトを止める」が入った。総理まで呼びかける事態

• 総理、官房長官、国家サイバー統括室、IPA、JPCERTが揃って言及
• 助言に「ウェブサイトの一時停止も有効」が入っている
• JPCERTがすでに狙われたかを調べる着眼点を出している

PHPの脆弱性については、中身と発見の経緯を書いた。

今回は政府の反応になる。プログラミング言語の脆弱性で、総理が呼びかけるところまで来た。

どこまで上がったか

官房長官は会見で「現時点で政府機関や重要インフラ事業者に関係する被害の報告は受けていない」と述べ、関係機関に修正の適用を注意喚起したとした。

助言の中身が、少し異様だった

総理の投稿にこうある。

修正パッチの迅速な適用が困難な場合は、ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策

IPAの注意喚起も同じ方向だ。対応が難しい場合は、被害や業務への影響を踏まえて外部からのアクセス遮断やサービスの一時停止が必要か判断するよう書かれている。

「直せないなら、閉めろ」と言っている。

これは、ふだん言われないこと

脆弱性の注意喚起は、たいてい「速やかに修正を適用してください」で終わる。止めろとは言わない。止めれば商売が止まるからだ。

それが入っているのは、更新できない環境がそれだけ多いという前提があるからだと思う。

実際、公式の修正版は8.2以降にしか出ていない。それより古い環境は、自分では直せない。

対象の広さを、日本の公的機関も明記した

IPAの注意喚起にこう書かれている。

PHP 5.4以降のバージョンは、これらの脆弱性のいずれかの影響を少なくとも受ける

5.4以降すべて。研究者側の発表と一致している。

そのうえで、8.1以前についてはこう続く。

PHP 8.1以前のバージョンは「End of life（サポート終了）」を迎えています。今回の脆弱性に対する修正プログラムが提供されないバージョンを利用している場合は、サポートが提供されているPHPへの更新や、対策済みの製品・サービスへの移行を検討してください。

JPCERTのほうは、PHP側が7.4、8.0、8.1 に最小限の緩和策を提供していることにも触れている。

いちばん使えるのは、JPCERTの着眼点

注意喚起にはすでに狙われていないかを調べるための着眼点が載っていた。実務ではここがいちばん役に立つと思う。

• 不自然なPHPSESSIDのCookie
• 異常なmultipart形式のリクエスト
• メモリ制限のエラー
• ワーカープロセスの異常終了

どれも脆弱性の仕組みと対応している。

1つ目はセッションを扱う経路、2つ目はファイル送信の形式を使ってメモリを使い切らせる手口、3つ目と4つ目は実際にメモリ不足を起こさせた痕跡になる。

ログに残っていれば、試された形跡が見える。更新した後でも、見ておく価値がある。

レンタルサーバーだと、ログが見えないことがある

正直に書いておくと、これらを自分で確認できる人は多くない。

• エラーログを見られる契約かどうか
• ワーカープロセスの状態は、たいてい見えない
• アクセスログの保存期間が短い場合もある

見られるなら見る。見られないなら、提供元の告知を待つ。それでいい。

緩和策は「対処にとどまる」と明記された

JPCERTの書き方がはっきりしている。

（緩和策は）特定の攻撃経路への対処にとどまり、アップデートのみが本脆弱性に対する対策

PHP公式も「完全な緩和策は存在せず、更新だけが唯一の安全な選択」と書いている。

設定を入れて安心しない。ここは何度でも書いたほうがいいと思う。

22日15時23分の状況

自分で見た範囲を書いておく。

昨日取り上げた会社の公式サイトと管理画面は、まだ停止していた。21日16時に始まっているので、23時間を超えている。

当初の見込みは「22日未明」だったので、大きく延びていることになる。

ただし理由は書かれていた。公式の修正版が無い古いPHPについて、独自の修正を作るとしていて、「お時間をいただく見込み」とも添えてある。

延びること自体は、先に言ってあった。そこは評価が分かれないところだと思う。

結局、何をするか

借りている場合

1. 提供元の告知を見る。対応状況が出ている
2. 管理画面でPHPのバージョンを選んでいるなら、再開後に確認する
3. 追加の作業を頼まれる可能性がある

自分で管理している場合

1. 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 のいずれかへ更新する
2. すぐ動けないなら、止めることも選択肢に入れる。政府がそう言っている
3. 更新後にログを見る。JPCERTの着眼点に沿って

2番目は、ふだんなら勧めにくい。だが今回は公的機関が明示しているので、判断の材料として使える。社内で説明するときに、根拠になる。

まとめ

• 総理、国家サイバー統括室、IPA、JPCERT、官房長官が相次いで言及
• 官房長官は政府機関や重要インフラでの被害報告は無いとした
• 助言に「ウェブサイトの一時停止も有効」が入っている
• IPAは「PHP 5.4以降のバージョンは少なくとも一方の影響を受ける」と明記
• 8.1以前はサポート終了。移行の検討を促している
• JPCERTが侵害を調べる着眼点を提示（PHPSESSID、multipart、メモリ制限、ワーカーの異常終了）
• 緩和策は対処にとどまる。更新のみが対策

出典

• IPA「PHPの脆弱性対策について」（2026年10月22日。対象バージョン、5.4以降への言及、サポート終了版の扱い、一時停止の判断）
• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日。対象、緩和策の位置づけ、EOL版への最小限の緩和策、侵害調査の着眼点）
• 高市総理の投稿（2026年10月21日21時55分）、国家サイバー統括室の呼びかけ、木原官房長官の記者会見（2026年10月22日）。内容はロイターおよびINTERNET Watchの報道による
• 停止が続いていることは、筆者が2026年10月22日15時23分に確認した

本記事は2026年10月22日時点の公表内容に基づく。被害の報告状況や各社の対応は随時変わるため、最新の情報は公的機関の注意喚起と、利用しているサービスの告知で確認すること。本記事は法的な助言ではない。