わらてつ（忘れてた…アイコン戻したw） @waratetsu

今夜23時、PHPに「緊急」の修正が出ます。23時前の今、分かっていることだけを、ITが苦手な人向けに書きます コドモンが全停止、BASEやさくらのレンタルサーバが緊急メンテ。「PHPの脆弱性」という言葉がトレンドに出ています。 でも「PHPって何？」「自分に関係あるの？」という人がほとんどだと思うので、そこから書きます。 臨床工学技士 × AIエンジニアの僕が、一次情報（PHP公式・CERT-EU）で確認できたことだけを整理します。 ※2026年10月21日20時時点。修正版の中身は23時に公開されるので、それまでは「公式が言っていること」と「それ以外」を分けて読んでください。 ━━━━━━━━━━ ■ そもそもPHPって何？ Webサイトには「表」と「裏」があります。 表＝あなたが見ている画面（文字、画像、ボタン） 裏＝ボタンを押したときに動く仕組み（ログイン、検索、予約、注文） この「裏」を動かしている言語のひとつがPHPです。 どれくらい使われているかというと、 ・WordPress（世界のサイトの4割以上を作っているソフト）はPHPで動いている ・病院やクリニックのホームページの多くはWordPress ・Web問診、予約フォーム、採用サイト、ECサイト（EC-CUBE）、会員サイト ・Wikipedia、Facebookの元の仕組みもPHP つまりPHPは「世界中のWebサイトの、裏側の共通部品」です。 たとえるなら、建物の「配管」。見えないけど、ほぼ全部の建物に入っていて、そこに欠陥が見つかると、全部の建物が対象になる。 ━━━━━━━━━━ ■ 今回、何が見つかったのか PHP公式が10月20日に告知した内容は、これだけです。 ・2件の脆弱性（ソフトの設計上の穴）を修正するセキュリティリリースを、日本時間10月21日23時に公開する ・2件とも、深刻度は「CVSS 9.2」 ・影響するバージョン、修正版の番号、原因は、23時の公開と同時に発表する ・全員、公開され次第すぐ更新できるよう準備しておいてほしい CVSSというのは、脆弱性の深刻さを0〜10で採点する国際的な物差しです。9.0以上が最高ランクの「緊急」。今回は2件とも9.2。 EUの緊急対応チーム（CERT-EU）は、外部情報をもとに、 ・「ログインしなくても、外からサーバーの中で好きな命令を実行できる」タイプの穴（RCE）の恐れ ・「PHP 5以降、すべてのバージョンに影響する可能性」 と注意喚起しています。ただし、これはPHP本家がまだ確認していない情報です。 RCEをたとえると、「窓から入れる」どころか「家の鍵をもらって住み着ける」レベルの穴です。 ━━━━━━━━━━ ■ なぜ修正前なのに、こんなに騒ぎになっているのか 普通、脆弱性は「修正版が出るまで黙っておく」のがルールです。今回はそれが崩れました。 10月20日、技術者の掲示板に「PHPに重大な穴が出るらしい」という噂が投稿される（投稿者自身が「証拠はない」と明記） → セキュリティ企業が「本物」と確認。本来の公開日は22日だったが、PHPチームが21日に前倒し → 研究者が、WordPressなどのテスト環境で「攻撃が成功する動画」をXに投稿 つまり、「穴の場所を知っている人が、世界に複数いる」ことが確定した。でも修正はまだ出ていない。 この状況で、コドモン（保育園の連絡アプリ）やpictSQUAREは「修正が出るまで、サービスごと止める」という判断をしました。普通はやらない、かなり思い切った対応です。 たとえるなら、「この型の金庫、ある手順で開くらしい」と噂が広まり、実際に開けている動画まで出た。メーカーは「今夜、対策部品を配る」と言っている。金庫屋さんの中には「部品が来るまで店を閉める」ところが出てきた。 なお「攻撃に使えるプログラムが公開されたか」は、情報源によって食い違っています。「公開されていない」という企業と、「出回っているとの報告がある」という企業がある。実際の攻撃は、20時時点で確認されていません。 ━━━━━━━━━━ ■ 一番の問題は「古いPHP」 PHPには「サポート終了（EOL）」のバージョンがあります。8.1以前は、もう修正版が作られていない。 「PHP 5以降すべてに影響」が本当なら、PHP 7で動いている古いサイトには、公式の修正が来ない可能性が高い。 そして、制作会社に作ってもらって何年も触っていない病院のホームページは、PHP 7で動いていることが珍しくない。サイトは普通に表示されるので、誰も気づかない。 たとえるなら、「この型の金庫すべてに欠陥がある」と分かったが、メーカーは「10年前のモデルの部品はもう作っていない」。古い金庫を使っている人は、買い替えるか、倉庫の奥にしまうしかない。 ━━━━━━━━━━ ■ 23時に何が起きるのか 23時にPHP公式が発表するのは、 ・影響を受けるバージョンの一覧 ・修正版の番号 ・（おそらく）脆弱性の概要 ここから始まるのが「競争」です。 修正版が出ると、「修正前」と「修正後」の差分を見れば、穴の場所が分かる。攻撃する側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。 だから「23時に出たら、すぐ当てる」が大事。「明日の朝でいいか」は、今回は危ない。 ━━━━━━━━━━ ■ 「15分間の極限攻防」について この投稿を見た人も多いと思います。 「23時に修正が出た瞬間から、攻撃側との競争が始まる」という構図は、その通りです。修正前と修正後の差分を見れば穴の場所が分かるので、攻撃側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。 ただ「15分」という数字は、僕が一次情報（PHP公式・CERT-EU・セキュリティ各社の分析）を探した範囲では、出所を見つけられませんでした。過去の事例で「公開から数時間で攻撃が観測された」ケースは実際にありますが、今回が何分かは誰にも分からない。 だから結論は同じで、「すぐ当てる」。「15分」が正しいかどうかに関係なく、「明日の朝でいいか」は今回は危ない、ということです。 「Webの約8割」は、サーバー側の言語が分かっているサイトのうちPHPが7〜8割（W3Techs調べ）という統計で、感覚としては合っています。ただし、その大半は「WordPressを使っているだけ」「レンタルサーバーを借りているだけ」の人で、自分で更新作業をする人は一部です。 ━━━━━━━━━━ ■ あなたは何をすればいいか 【自分でサーバーやWordPressを管理している人】 ・PHPで動いているサイトを全部洗い出す（テスト環境、昔のキャンペーンサイト、忘れていたものも） ・各サイトのPHPバージョンを確認する（レンタルサーバーなら管理画面に書いてある） ・バックアップを取る ・23時以降、php.netの公式発表だけを見て更新する。SNSに流れる「修正版は〇〇」という番号は無視 ・更新したら、動作確認して、時刻を記録する 【レンタルサーバーやWix、note、Shopifyなどを「使っているだけ」の人】 事業者が更新します。自分でやることは、事業者のお知らせを確認するだけ。 ただし、レンタルサーバーの管理画面で自分でPHPバージョンを選んでいる場合は、切り替えは自分でやる必要があることが多い。 【すべての人】 「PHPの緊急アップデートはこちら」というメールやSMSのリンクを踏まない。騒ぎに便乗したフィッシングの入口です。 ━━━━━━━━━━ ■ 病院・クリニックの人へ 病院のホームページ、採用サイト、Web問診、予約フォーム。多くはWordPress＝PHPです。 今夜のうちに、制作会社・管理会社に3つだけ聞いてください。 ①「うちのサイトのPHPのバージョンはいくつですか」 ②「今回の修正を当てるのは御社ですか、うちですか。いつですか」 ③「終わったら連絡をもらえますか」 これだけで「放置されていた」が「把握している」に変わります。 Web問診を使っている病院は特に、「サイトの先に患者情報がある」構造です。 ━━━━━━━━━━ ■ 臨床工学技士として 医療機器には「回収・改修情報」があります。メーカーから「この機種に欠陥があります、対策部品を配ります」と来て、院内の該当機器を洗い出し、対応し、記録する。 今夜のPHPの修正は、構造がまったく同じです。 通知を読む → 該当するものを洗い出す → 対策を当てる → 古すぎて部品がないものを判断する → 記録する 医療機器の回収対応を日常的にやっている臨床工学技士は、この筋肉をすでに持っています。対象が機器からサーバーに変わっただけ。 まず、できるところから。 23時の公式発表が出たら、影響バージョンと修正版の番号を追記します。詳しい版（用語の早見表・出典URLつき）はnoteに書きました。 ━━━━━━━━━━ 出典：PHP公式サイト（10月20日告知）／CERT-EU注意喚起／ITmedia NEWS（10月21日）／GIGAZINE（10月21日）／セキュリティ対策Lab（コドモン全停止、10月21日）／pictSQUARE公式X（10月21日）／watchTowr・Cyber Kendra・SecureLayer7（各社の分析） ※本記事は筆者の整理と個人的見解です。脆弱性の技術的な仕組みや攻撃手順には触れていません。影響バージョン・修正版の番号は、23時以降の公式発表で必ず確認してください。

ウェブサイト持ってる人以外は関係ない内容か。びっくりしたが、持ってる人は対応これからやらないといけないから大変だな、、、 プログラミング言語の「PHP」（ピーエイチピー）のことです。 高市早苗さん（現・内閣総理大臣）がXで緊急呼びかけをしていたのは、ウェブサイトで広く使われているサーバーサイドのスクリプト言語PHPの話です。 何を言っていたか PHPのセキュリティチームが、重大な脆弱性2件について注意喚起を出しており、日本時間10月21日午後11時に修正パッチが公開される予定だと伝えています。 •公開しているウェブサイトでPHPを使っている場合は、パッチをすぐに適用できるよう準備してほしい •すぐ適用できない場合は、サイトを一時停止することもリスク低減策の一つになる •国家サイバー統括室のアカウントでも情報が出ているので参考にしてほしい という内容です。 このPHPの脆弱性について •2件とも深刻度が非常に高く（CVSS v4.0で9.2）、リモートから任意のコードを実行される可能性がある（いわゆるRCE）と報じられています。 •「php2shell」などと呼ばれ、影響範囲が広いと指摘されています。 •WordPressやLaravelなど、PHPで動いている多くのサイト・サービスが影響を受ける可能性があります。 要するに「ウェブサイトを動かしている言語のセキュリティ上の大問題が今夜パッチされるから、管理者の人は準備してね」という注意喚起です。政策や経済用語ではなく、IT・サイバーセキュリティの話です。

山中崇の台詞の言い方もう最高！できるって知ってたけどここまでとは。VIVANTと落差あり過ぎて最初わかんなかったw アレできるのズルいわ〜、振り幅の広さ嫉妬するわ〜（笑） #救命病棟24時

予想外だわ、、、めちゃ良い！

A goalkeeper that can do it all 🧤 Zion Suzuki 👏

これからが、いままでを決める EN-GINE ～時代を動かす者たち～ #TVer tver.jp/episodes/epyh5… 以前から知ってる企業だったから観たけど、聴けて良かった思考、感謝します。

うぉお　凄い勢いでのびてる 結構知らない人居たんだなぁ なので　こっちでも 禮志さんの漫画の雑学 幽遊白書でぼたんのマンダムポーズに幽助が「右手気をつけろよ　お前」と言うセリフがあるのだけど 実はこの数週前（vs飛影時）に幽遊白書がジャンプの表紙を飾ったのだけど 作画ミスでぼたんの右手が左手になっちゃったのを気づかずそのまま発売しちゃったのね それで　この回で幽助がぼたんに向かって「右手（の作画）気をつけろよ　お前」とメタをかましたのでした

keyboard_arrow_left Previous keyboard_arrow_right Next

禮志竜聖(艶歌歌手) @yeji_ryusei

2 weeks ago

@ryo_animanga ジャンプ1991年の24号で 幽遊白書が表紙を飾ったんですが この時のぼたんが　作画ミスで右手が左手の逆Ｊガイル状態になってたんです 発売後にこのミスに気づいた富樫先生が 作中で　幽助がぼたんに右手の（作画）気をつけろよと自分のミスをいじったんです

43 708 4K 663K 556

もうリチャード・スタークの精神はクロムハーツには存在しない 今は彫金もやった事がないような、リチャードの嫁・子供たちが好き放題にやってる バイカーや男らしいブランドイメージは一切消え失せ、成金のファッションそのものに成り下がった クロムハーツは昔の遺産で食い繋いでるだけ、そのうち飽きられる

keyboard_arrow_left Previous keyboard_arrow_right Next

あのガリアーノだぞ？キレそうになるの抑えてスタッフに丁寧口調で注意したけど（若い男性）、伝説のデザイナーとのコラボに対してスタッフ周知等どうかと思うわ〜。服好きの皆様、信頼できそうなスタッフに聞いた方が良いです、お気を付けください。

さっき過去のコラボ未入荷店のZARAでガリアーノコラボの店頭販売聞いたら「店舗販売も今はされてると思います」と言われ、ほんとか聞いたら上に確認してきて「オンライン販売のみとなります」と回答…ザラジャパン舐めてんの？誤案内されかけたし何よりガリアーノへの敬意がねぇ！

アレン様、クロムハーツにブチ切れてる 本当に人によって対応変わるの有り得ないわ

ヴァーディの相棒（笑）

おぞうに @ozouni3768

3 weeks ago

これ好き笑

47 2K 30K 3.5M 5K

塩貝、これがトラウマでパス出さなくなったんだよね…

DAZN Japan @DAZN_JPN

6 months ago

王者バイエルン相手に爪痕を残す！ DF4人を引き付けスルーパス 🇯🇵塩貝健人が決定機を演出 短い出場時間で違いを生み出す🔥 🇩🇪ブンデスリーガ第32節 🆚ヴォルフスブルク×バイエルン 📺DAZN ライブ配信中 #ブンデスリーガ #だったらDAZN

84 322 8K 4.3M 477

20代半ばの頃、とあるレコーディングでLAに行ったんですよ。カリフォルニア州のロサンゼルス。 で、空き時間に「せっかくだからギターでも買って帰るべ」ってんで、地元で有名な楽器屋さんへ。 とりあえずそこで気になったリッケンバッカーの青い12弦を試奏させてもらうことに。 12弦なので、基本的にコード弾きじゃないですか。 アンプに突っ込んでクリーントーンでテキトーにコード弾いてたら、同じく隣でストラトを試奏してるおっさんがそれに被せてソロを弾いてくるんですよ。 さすがアメリカ人、楽器屋で試奏するおっさんもそこそこ上手いな〜なんっつって、コードを展開して行く。おっさん着いてくる。予想よりかなりハイレベルなフレーズで。 もちろん、礼儀として素っ頓狂な進行にはせず、ある程度理論に則ったコードを弾くんだけど、どこまでも着いてくる。 なんならフレーズが次のコードを求めてくるレベル。 しまいには「そろそろ転調するべ」なんつってアイコンタクトしたりするが、それにもちゃんと反応してくるアメリカおっさん。 気がついたら周りが凄い人だかりに。 大喝采の中で即席のセッションは終了し、最後はハイタッチ＆ハグで締めましたよ。そのパット・メセニーとかいうおっさんと。

إذا شعرت أن سعادة لاعبي كوريا الجنوبية مبالغا فيها بعد حصد ذهبية كرة القدم في دورة الألعاب الآسيوية لابد أن تعرف بأن لاعبي كوريا الجنوبية سيتم إعفائهم من الخدمة العسكرية الإلزامية التي تتم قبل بلوغهم 28 عاما لمدة تتراوح بين 18 و21 شهرا (وهو إذا حدث سيساوي توقف مسيرتهم الرياضية في أهم فترة) الحكومة في كوريا الجنوبية تكافئ الفائزين بالميداليات الأولمبية وأبطال دورة الألعاب الآسيوية بإعفاء من الخدمة العسكرية باستثناء التدريب الأساسي الذي يستمر لأقل من شهر الحكومة في كوريا الجنوبية تكافئ الفائزين بالميداليات الأولمبية وأبطال دورة الألعاب الآسيوية بإعفاء من الخدمة العسكرية باستثناء التدريب الأساسي الذي يستمر لأقل من شهر منتخب كوريا الجنوبية توج بآخر 4 ألقاب لكرة القدم متفوقا على اليابان في 3 نهائيات متتالية وهو الأكثر حصدا للذهبية برصيد 7 مرات pic.x.com/dh8klc9hnb

ブルガリアンバサダーの福原遥ちゃん、結婚発表の写真にディーバのブレスレットつけてるの偉すぎる マスコミがこの写真使うの分かってるからつけたのかな

サムネのこと、正式タイトルには入ってたの今気付いた。

先日話題だったやつマジ良かった！そりゃ関係者泣くきますわ。半分以上ブンサテだったらタイトル詐欺に感じた（笑） EIGHT-JAM #TVer tver.jp/episodes/epwio…

漏らさなかったヤフコメ民ナイスプレー過ぎてバロンドール

ぷちまる @noi__73

3 weeks ago

福原遥と久保健英、2年前くらいからのつきあいってこと？

keyboard_arrow_left Previous keyboard_arrow_right Next

137 2K 80K 22.6M 5K

ザラガリアーノ、値段とか品質とかよりなによりこれで爆笑。