EU機関、PHPバグでウェブサイトにオフライン検討を要請

欧州連合のサイバー緊急対応チームは、2つの深刻なPHP脆弱性に対する修正を適用できないウェブサイトに対し、サイトのオフライン化を検討するよう助言した。いずれかの脆弱性を悪用されると、攻撃者が認証なしでウェブサーバーを制御できる可能性がある。

PHPはインターネットの大部分を支え、WordPressブログからMagentoオンラインストアに至るプラットフォームを動かしている。しかし、両脆弱性の技術的詳細は修正プログラムが公開される前に公になった。

攻撃者が先手を打った

Huntressによると、漏洩は予定された発表前の10月20日に発生した。PHP Foundationのセキュリティチームはその後、公開時間を10月21日14:00 UTCに設定した。

PHPセキュリティチームからの事前通知：2026年10月21日（水）14:00UTCにセキュリティリリース予定、2つの重大な脆弱性、いずれもCVSSv4 9.2評価。

PHPユーザーは更新の準備を推奨。詳細が公開されたり、積極的な悪用の証拠があれば早期リリース。

— PHP Foundation (@ThePHPF) 2026年10月20日

セキュリティ企業watchTowrは2つの脆弱性のうち1つを再現することに成功したとHuntressが報告。Huntressは自社クライアントのシステムでは悪用を確認していないと述べた。

しかし、Cloudflareの最高技術責任者Dane Knechtは、攻撃がすでに進行中であると述べた。同社は特定された攻撃ベクトルをカバーするファイアウォールルールを、無料プランを含むすべての顧客に実装した。

初期の攻撃が出現しており、新たなベクトルが現れるたびに緩和策を更新している。これはあくまで暫定措置です。

KnechtはXに警告を投稿した。

ロイター通信によると、欧州連合コンピュータ緊急対応チーム（CERT-EU）とオーストラリアのサイバー当局は、PHPの脆弱性がPHP 5以降のすべてのバージョンに影響を与える可能性があると警告した。

Huntressは、一部の研究者は現在サポートされているPHP 8バージョンのみのパッチを予想していると指摘。この状況により、古くてサポートされていないPHPバージョンを実行しているウェブサイトは対策が取れない可能性がある。

この警告は、100社以上の企業がAIを駆使したサイバー攻撃が数ヶ月以内に急増する可能性があると警告した数週間後に出された。

PHPの脆弱性がウェブサイト運営者にとって意味すること

W3Techsによると、サーバーサイド言語が識別可能なウェブサイトの約69%でPHPが使用されている。WordPressだけで全ウェブサイトの約40%を占める。

CERT-EUは、深刻度9.2の評価は認証なしのリモートコード実行能力を示すと述べた。簡単に言えば、外部の攻撃者がログイン資格情報なしでサーバー上で悪意のあるコードを実行できる可能性がある。

ウェブホスティングプロバイダーのGoDaddyは、攻撃者がデータを盗んだり、ウェブサイトを改ざんしたり、システムを完全に乗っ取る可能性があると警告した。盗まれた記録の価値は韓国の銀行の侵害から明らかである。

セキュリティプラグインのWordfenceは、すべてのWordPressサイトがPHPサーバー上で動作していると指摘。しかし、WordPressの自動更新メカニズムはこれらのPHP脆弱性に対処できない。そのため、サイト運営者はPHP管理の責任者が誰かを判断しなければならない。

日常のインフラを標的にしたインシデントは増加し続けており、10月のフランスのスーパーマーケット冷蔵庫ハッキングがその例である。今回のPHP脆弱性は、脅威をウェブの多くを支えるソフトウェア層に移し、サーバー更新を1つ逃すだけで侵入口が生じる可能性がある。