今夜23時、PHPの修正版が出る。令和のサマーウォーズに参加するみなさんへ(2026年10月21日)

サマーウォーズの話をします

『サマーウォーズ』は2009年の日本のアニメーション映画です。世界中の人が使っている仮想空間が、ひとつの人工知能に乗っ取られる。止めるのは、長野の大家族と、画面の向こうで次々に手を貸す見知らぬ人たちです。特別な武器を持った英雄はいなくて、それぞれが持っているものを持ち寄って、同じ時間に同じ相手に向かう。あの映画の肝はそこだと思っています。

今夜に重ねると、こうなります。PHPは、サーバー側の言語が分かるWebサイトの約7割で使われていると報じられています(ITmedia NEWSがW3Techsの調査として報道、2026-10-21)。会社のサイト、ネットショップ、予約システム、社内の管理画面。ふだん「PHP」という名前を見ることはなくても、その上で動いているものはたくさんあります。そこに、認証なしで外から命令を実行されるおそれがあると見られている穴が2つ見つかった(CERT-EUの見方で、PHP公式は詳細を公表していません)。

直すのはひとりではありません。修正版を書いて公開の時刻を決めたPHPのセキュリティチーム。20日のうちに注意喚起を出した欧州のCERT-EU。今日16時に、公式サイトと管理画面を予防的に止めて備えたエックスサーバー(同社告知、2026-10-21 16:00時点)。夜に電話がかかってくる制作会社と保守会社。自社のサーバーを自分で更新する情シス。Linuxの配布元で修正版をパッケージにする人たち。そして、管理画面でPHPのバージョンをひとつ上げるだけの、無数のサイトの持ち主。

23時(日本時間)は、世界時間の14時です。ヨーロッパの午後と、アメリカ西海岸の朝と、日本の夜が、同じ1時間に重なります。画面の向こうで、言葉の違う人たちが同じ発表を読んで、同じ作業を始める。サマーウォーズです。

仕様の出典: ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け」(2026-10-21) / PHP公式「Upcoming Critical PHP Security Release」(2026-10-20)

今夜23時に起きること

PHP公式の予告(2026-10-20)で分かっているのは、公開が2026年10月21日14:00 UTC(日本時間23時)であること、2件とも CVSS v4.0 で9.2と評価されていること、影響を受けるバージョンと修正版は公開時に公表されること、詳細が外に漏れたり悪用が確認されたりすれば前倒しされうること、の4つです。それ以外は、まだ誰も公式には知りません。

• 23:00 PHP公式サイトのニュースに、リリースの記事が出ます。影響を受けるバージョン、修正版の番号(8.2・8.3・8.4・8.5の各系列)、CVEの番号が、ここで初めて公になります
• 同じ頃から、Linuxの配布元、レンタルサーバー会社、クラウド事業者が、それぞれの環境に修正を当て始めます。サーバー会社の告知は、夜のうちか翌朝に出るのが普通です
• 自分で更新する人は、公式の発表で自分のバージョンが対象かを確かめてから、バックアップを取り、修正版に上げ、決めておいた画面で動作を確かめます
• 翌朝、JPCERT/CCやIPAの注意喚起が出るかもしれません。実際の悪用が確認されたかどうかも、ここから数日で分かります

ネット上には、今のうちから攻撃の仕組みを推測する投稿がたくさんあります。読んでかまいませんが、作業の根拠にするのは公式の発表だけにしてください。推測に合わせて独自の対策をするより、更新そのものを確実に終えるほうが効きます。

仕様の出典: PHP公式「Upcoming Critical PHP Security Release」(2026-10-20) / CERT-EU Security Advisory 2026-018(2026-10-20)

「頑張ろう」の中身

応援だけでは役に立たないので、具体的に書きます。今夜の「頑張る」は、徹夜で張り付くことではありません。3つです。

1. 準備は23時より前に終わらせて、待つ

自社でPHPが動いているものを書き出す。それぞれのバージョンを控える。誰が更新するか、連絡がつくかを決める。バックアップを取って、戻し方を確かめる。更新後に見る画面を決める。これだけです。23時になってから慌てて探すのがいちばんつらいので、いま終わらせて、あとは待ってください。やることの一覧は、当社の解説(この節の出典)にまとめてあります。

2. 公開されたら、公式を読んでから手を動かす

23時に最初に開くのは、PHP公式のニュースです。自分のバージョンが対象外なら、今夜の作業はありません。寝てください。対象なら、バックアップを取ってから上げて、決めておいた画面を確かめる。レンタルサーバーで、サーバー会社が当てる方式なら、今夜できることは告知を待つことだけです。待つのも作業のうちです。

3. 終わったら、記録して寝る

いつ、どのサーバーを、どのバージョンに上げたか。1行でいいので残してください。あとで不審なアクセスを調べるとき、更新の前か後かが最初の手がかりになります。翌朝の報告も、この1行があれば済みます。そして寝てください。寝ることも、明日の作業のうちです。

ひとりでやらない

すぐに上げられないサーバーもあります。古いPHPのまま動いていて、修正版に上げると何かが壊れる。制作会社と連絡が取れない。そういうときは、ひとりで抱えずに、IPAの相談窓口(この節の出典)や、契約しているサーバー会社・保守会社に相談してください。更新までの間、管理画面へのアクセス元を絞る、WAFのルールを確認する、といったつなぎの手もあります。

経営者の方へ

今夜、社内の誰かか、委託先の誰かが、23時にパソコンを開きます。明日、その人に「ありがとう」と言ってください。そして、「次は誰が更新するのか」を、平日の昼間に決めておいてください。今夜の作業が重いのは、脆弱性が重いからというより、誰が当てるかが決まっていなかったからであることが多いのです。

仕様の出典: 当社の解説「PHPの緊急脆弱性(2026年10月21日)」 / IPA 企業・組織向けサイバーセキュリティ相談窓口

当社は今夜、何をしているか

正直に書くと、当社のサイト(westeria.jp)はPHPを使っていません。あらかじめ作ったHTMLをそのまま配信する構成なので、今夜当てる修正はありません。つまり当社は今夜、戦う側ではなく、応援する側です。(追記 2026年10月22日9時: 公式の発表を読んで、PHPの解説を公開後の内容に更新しました。エックスサーバーは10月22日6時45分時点で8.2〜8.5への適用完了を告知しています。報道によれば、公開の約1時間前には高市首相がXで「大至急のお願い」として適用の準備を呼びかけ、BASEやサイゲームズのゲームなど国内のサービスが相次いで緊急メンテナンスに入りました。首相まで参加する、文字どおり国を挙げたサマーウォーズでした。夜に作業したみなさん、お疲れさまでした。)

その代わり、23時に公式の発表が出たら、当社のPHPの解説を、影響を受けるバージョンと修正版の番号で更新します。WordPressで、いまのサーバーでは新しいPHPに上げられない、更新する人がいない、という方のために、引っ越しの解説も今日のうちに出しました(下の関連記事)。今夜の作業が終わって、少し落ち着いてから読んでください。

画面の向こうで同じ発表を読んでいる、すべての人へ。頑張ろう。終わったら寝よう。

出典

• PHP公式「Upcoming Critical PHP Security Release」(2026-10-20): https://www.php.net/archive/2026.php#2026-10-20-1
• CERT-EU Security Advisory 2026-018「Critical Vulnerabilities in PHP」(2026-10-20): https://cert.europa.eu/publications/security-advisories/2026-018/
• ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け」(2026-10-21): https://www.itmedia.co.jp/news/article/2610/21/2000002446/
• エックスサーバー株式会社「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」(2026-10-21 16:00): https://www.xserver.ne.jp/
• IPA 企業・組織向けサイバーセキュリティ相談窓口: https://www.ipa.go.jp/security/todokede/incidentportal.html

よくあるご質問

23時に起きていないとだめですか

いいえ。レンタルサーバーでサーバー会社が修正を当てる方式なら、今夜できることは告知を待つことだけです。自分で更新する人も、準備が終わっていれば、公開を確かめて対象外なら寝てかまいません。前倒しの可能性はあるので、PHP公式サイトのニュースは夜のうちに一度見てください。

公式の発表はどこで読めますか

PHP公式サイトのニュース(php.net)です。影響を受けるバージョン、修正版の番号、CVEの番号は、ここで公表されます。サーバー会社を使っている場合は、その会社のお知らせも見てください。SNSの推測は作業の根拠にしないでください。

サマーウォーズを見ていなくても大丈夫ですか

大丈夫です。要するに「ひとりの英雄ではなく、別々の場所にいる大勢が、同じ時間に同じものを直す夜」という話です。作業が終わったら、見てみてください。