PHPの重大な脆弱性。「パスワードを長くする」だけでは防げない理由
naimei2026年10月21日夜、高市総理のXで「大至急のお願いです」と呼びかけられたPHPの重大な脆弱性について、驚いたり、不安を感じたりした方も多かったと思います。私もその一人です。
その後の続報を伝えるニュースの中で、できる対応として、パスワードを15桁以上にするという話も紹介されていました。
長いパスワードを使うことは大切です。ただ、今回のニュースと続けて聞くと、「パスワードを変えれば、この問題も防げる」と受け取ってしまう人もいるのではないかと感じました。
今回必要なのは、PHPそのものへの修正対応です。そもそもPHPとは何なのか、できるだけわかりやすく整理してみます。
PHPは、ホームページの裏側で働いているもの
PHPは、WordPressなどで使われているプログラミング言語です。
ここで少し紛らわしいのが、「PHP」という名前は、その言語で書かれたプログラムを動かすソフトにも使われていることです。
サーバーの中には「PHPの実行ソフト」が入っていて、PHPで書かれたWordPressなどのプログラムを読み取り、ページを表示するための処理を行っています。
今回、修正が必要になったのは、この実行ソフトです。
「PHP 8.3.35」「PHP 8.3.36」といった数字は、そのバージョンを表しています。
今回、どんな問題が見つかったの？
PHP公式は10月21日、ログイン認証を受けていない相手でも、サーバー上で不正なプログラムを実行できるおそれのある、重大な脆弱性を2件公表しました。
同時に、修正版としてPHP 8.3.36などを公開し、速やかな更新を呼びかけています。
ニュースで聞く「パッチをあてる」とは、こうした弱点を直すため、簡単に言うと穴をふさぐための修正を適用することです。
なぜ、パスワードを長くするだけでは防げないの？
パスワードの強化は、他人に推測されたり、不正にログインされたりすることへの対策です。
一方、今回のPHPの問題は、ログイン認証を受けていない相手からも攻撃されるおそれがあります。
家にたとえるなら、パスワードの強化は「玄関の鍵を強くすること」、今回の修正は「別の場所に見つかった侵入口をふさぐこと」です。鍵を強くしても、別の侵入口が残っていれば、そこから入られるおそれがあります。
つまり、パスワードを長くしても、PHPの弱点そのものは直りません。
ホームページを持っている人は、何を確認すればいい？
レンタルサーバーを利用している場合は、まず契約先の公式のお知らせを確認してください。
PHPが公式のサポート期間内のバージョンであれば、通常はレンタルサーバー会社が修正を適用します。
サポート期限が切れたバージョンを使っている場合は、サポート期間内のバージョンへの更新が基本となります。ただし、サーバー会社が独自に修正を提供する場合もあるため、契約先の案内をご確認ください。
確認したいのは、次の3点です。
- 自分のサイトで使われているPHPのバージョン
- そのバージョンに今回の修正が適用されているか
- 利用者側でバージョンの切り替えなどが必要か
サーバー会社によって対応方法は異なります。表示されるバージョン番号だけでは判断できない場合もあるため、不明な点はサーバー会社や保守担当者に確認しましょう。
PHPのバージョンを自分で切り替える場合は、事前にバックアップを取得し、切り替え前後にサイトの表示やお問い合わせフォームなどの動作を確認する必要があります。
なお、WordPressやプラグインの更新も大切ですが、それだけでサーバー内のPHPの修正まで完了するとは限りません。
対応しないままだと、どうなるの？
「個人情報を扱っていないから大丈夫」ではありません
今回の問題で心配されるのは、個人情報の漏えいだけではありません。
例えば、会社のホームページが書き換えられ、訪問した人を偽の通販サイトや詐欺サイトへ誘導するようにされる可能性があります。
「ウイルスに感染しました」などの偽の警告画面を表示されたり、そのような画面へ誘導されたりすることも考えられます。訪問した人が警告を信じて、表示された電話番号に連絡したり、不審なソフトをインストールしたりすると、金銭被害などにつながるおそれがあります。
また、サイトを正常に利用できなくなれば、お問い合わせや予約を受けられず、仕事に影響することもあります。サーバーが迷惑メールの送信や、ほかのサイトへの攻撃に悪用されるおそれもあります。
自社が被害を受けるだけでなく、知らないうちに第三者への被害に利用されてしまうのです。
「盗まれる情報があるか」だけでなく、「自社のサイトやサーバーを悪用されないか」という視点でも、修正が適用されているか確認することが大切です。
ご心配なことは、お気軽にご相談ください
「自分のホームページは大丈夫だろうか」「サーバー会社のお知らせを読んでも、何をすればよいかわからない」という方もいらっしゃると思います。
PHPのバージョンや今回の修正状況の確認、必要に応じた更新など、ホームページの安全な運用をお手伝いします。
ご不安な点がありましたら、お気軽にご相談ください。
