世界中のウェブサイトで広く使われているプログラミング言語「PHP」に重大な脆弱性が見つかり、ハッカーによる攻撃への警戒が世界的に広がっている。各国の企業や政府は、時間との闘いとなるウェブサイトの防御に全力を挙げている。
英紙フィナンシャル・タイムズ（FT）などの報道によると、PHP（当初の名称は「Personal Home Page」）には、極めて深刻な脆弱性が2件（CVE-2026-109618、CVE-2026-109619）存在することが明らかになった。攻撃者が認証なしで遠隔から任意のコードを実行できる恐れがあり、PHPを利用する企業や機関のウェブサイトが攻撃対象となる可能性がある。
注目されるのは、10年以上にわたり見過ごされてきたこれらの脆弱性が、セキュリティー企業のCalifやWizによる、OpenAIやGoogleのAIモデルを活用した調査で発見されたことだ。
PHPはオープンソースの汎用スクリプト言語で、特にウェブ開発に適しており、HTMLに埋め込んで使用できる。C言語やJava、Perlなどのプログラミング言語の特徴を取り入れており、1995年に誕生した。
2件の脆弱性の判明を受け、PHPの開発チームは緊急に修正プログラムを公開した。防御の動きは欧米での予防的なシステム停止からアジアにまで広がっている。
米国では国家安全保障局（NSA）などの当局が企業に警戒を呼びかけ、直ちに修正できない場合にはウェブサイトをオフラインにすることも含めた対応を促している。サイバーセキュリティー・インフラストラクチャー安全保障庁（CISA）も、速やかな修正適用を求める注意喚起を出した。
欧州ではEUサイバーセキュリティ機関（ENISA）やCERT-EUなどが警告を発しており、一部の政府系サイトは中核システムを守るため、予防的に公開を停止した。
AI支援で10年以上潜んだ欠陥を発見
日本では高市早苗首相が21日夜、X（旧ツイッター）で「今夜に対応して頂きたい大至急のお願いです」と投稿し、国内の企業や機関に対し、修正プログラムをできる限り速やかに適用するよう呼びかけた。
首相は、修正の速やかな適用が難しい場合には、ウェブサイトなどを一時的に停止することも「リスクを低減させるための有効策の一つ」だとして、サービスの一時停止もためらわないよう求めた。
このほか、台湾、香港、シンガポールなどアジア各国・地域のセキュリティー当局も、SNSや声明を通じて警告や防御指針を発表した。
テクノロジー・クラウド大手も警戒を強めている。中国のアリババクラウドとテンセントクラウドは緊急通知を出し、顧客に修正済みのバージョンへ速やかに更新するよう求めた。 （関連記事： PHPに重大な脆弱性「php2shell」発覚 世界で数百万回の攻撃試行、日本でも行政やインフラに影響拡大 ｜ 関連記事をもっと読む ）
ウィキメディア財団は、利用者がサービスの中断に直面する可能性があると警告し、修正が確実に完了するまで複数の補助的なサービスを予防的に停止した。
