「被害」と「予防の停止」は別物。PHPの騒動を、煽りを外して読む

• 銀行・省庁・自治体の多くは「被害」ではなく「予防のための停止」
• 公表4日前の攻撃は1件の試行で、成否は分かっていない
• OpenAIの「今後数か月で急増」は「見つかる数」の話。攻撃の数ではない

PHPの脆弱性について、「AI世界大戦前夜」「これから日本を襲う恐怖の数カ月」という見出しの記事が出ていた。

中身には、三菱UFJ銀行、静岡銀行、大和証券、財務省、気象庁、札幌市などが「被害企業・機関」として並んでいる。

今週このサイトでは、この件を脆弱性の中身からPHP財団の声明まで追ってきた。その立場から、どこが事実で、どこが言い過ぎかを分けておく。

「被害」ではなく「予防」

いちばん大きいのはここだ。

挙がっている銀行や省庁、自治体の対応を報道で確かめると、書き方はこうなっている。

• 時事通信 — 「PHP欠陥、企業・団体が予防措置」
• 北海道新聞 — 札幌市HPを一時停止、「情報流出を予防」
• 三菱UFJ銀行 — システムの臨時メンテナンスのため一部サービスを停止
• 静岡銀行 — ネットバンクアプリを一時停止、安全が確認され次第再開
• 財務省 — ウェブサーバーの緊急点検と修正プログラムの適用のため一部を停止

入られたから止めたのではない。入られないように止めた。

これを「被害企業」と呼ぶと、預金や個人情報が危ないのではと受け取る人が出る。実際にはそういう発表は出ていない。

止めたことは、むしろ評価される側

今週、総理やIPAが「直せないなら一時停止も有効」と呼びかけた。各機関はその呼びかけどおりに動いたことになる。

レンタルサーバー各社が修正版の公開前から止めた話も書いたが、止めることは不手際ではなく、判断だ。

止まったせいで不便だったのは事実だ。だが不便と被害は別の言葉にしておきたい。

札幌市は戻っている

このサイトは札幌から書いているので、確かめておいた。札幌市の公式ホームページは21日午後9時から一時停止していたが、24日0時28分の時点で表示された。

本当に重要な事実：4日前に試行があった

一方で、煽りの記事にも重要な事実が1つ入っていた。AWSの観測だ。原文を確かめた。

Amazonの脅威インテリジェンスは、公表の4日前にあたる2026年10月17日の、php2shellの悪用の試みを、おとりの観測網MadPotで確認した。

MadPotは、わざと狙われやすい環境を用意して攻撃を観察する、AWSの仕組みだ。

ただし、正確に読む

AWSは「実際のシステムで成功したかどうかは分からない」としている。

財団の説明と、少しずれる

ここは書いておきたい。

PHP財団の声明では、協調した公表は「予定日の2日前まではうまくいっていた」とされ、CVE番号が出回り始めたのは10月20日だった。

AWSの観測はそれより3日前の17日だ。番号が漏れる前に、試した誰かがいたことになる。どうやって知ったのかは、AWSも分からないとしている。

煽る材料にはなる。だが今の時点で言えるのは「1件の試行があった」までだ。

「恐怖の数カ月」の元の言葉

見出しの根拠になっているのは、OpenAIの発表だ。元の言葉はこうだった。

このPHPの欠陥は、我々がすでに見つけ、修正に取り組んでいるいくつかの重大な脆弱性のひとつであり、同様の発見が今後数か月で急激に増えると予想している。

増えると言っているのは「発見」だ。

発見が増えるのは、直す機会が増えるということでもある。今回も見つけた側が先に報告し、修正版が出てから公表された。

もちろん楽観はできない。公表から2時間で数十万件の攻撃が来た。発見が増えれば、更新の回数も増える。それは大変になる。

だが「襲われる」のではなく「直す回数が増える」と読むほうが、やることがはっきりする。

確かめられなかったこと

元の記事には、ホワイトハウスの緊急声明やNASAの勧告、欧州各国の政府サイトの停止も書かれていた。

欧州の政府関連サイトへの波及は、ほかの報道にも出ている。だがホワイトハウスとNASAについては、一次情報を確認できていない。ここでは事実として扱わない。

読む側として

こういう見出しを見たときに、分けるとよいものがある。

1. 「止めた」と「入られた」 — 予防の停止は被害ではない
2. 「試行があった」と「成功した」 — 数百万件の試行も、成功の数ではない
3. 「見つかる」と「襲われる」 — 発見が増えるのは、直す機会でもある
4. 「一次情報にある」と「記事に書いてある」

そのうえで、やることは変わらない。

• PHPを使っているなら、更新する（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）
• 借りているなら提供元の告知を見る
• 更新後にログを見る。AWSは、ファイル送信のフォームに含まれる「PHP_SESSION_UPLOAD_PROGRESS」という文字列を監視するよう勧めている

怖がるより、上げて、見る。それで足りる。

まとめ

• 銀行・省庁・札幌市などは予防のための停止。被害の発表ではない
• 札幌市のHPは24日0時28分の時点で表示された
• AWSは10月17日に1件の試行を観測。成否は不明
• CVE番号の流出（20日）より前に試した誰かがいた。入手経路は不明
• OpenAIの予測は「発見が増える」。直す機会も増える
• ホワイトハウスとNASAの件は一次情報を確認できていない
• やることは更新と、ログの確認

出典

• AWS「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」（10月17日の試行、攻撃元の性質、21日の試行、成否が不明であること、推奨事項。引用の日本語は筆者による訳）
• The PHP Foundation の声明（協調公表の経緯、CVE番号の流出時期）
• 国内の銀行・省庁・自治体の対応は、時事通信、北海道新聞ほかの報道による
• 札幌市公式ホームページの表示は、筆者が2026年10月24日0時28分に確認した

本記事は2026年10月24日時点の公表内容と報道に基づく。各機関の停止は予防措置として報じられたものであり、個別に被害が無いことを保証するものではない。最新の情報は各機関の発表で確認すること。本記事は法的な助言ではない。