その脆弱性、うちは関係ある？ システムを守る「入口・データ・鍵」のしくみ｜ラクにゃんとミナが解説

ミナ

ラクにゃん、ニュースで「PHPの脆弱性」って言葉を何回も見ました。役所や銀行のサイトまで止まっていて……。うちの会社のシステムも、危ないんでしょうか？

ラクにゃん

気になるよね。でも、あわてなくて大丈夫だよ。まずは「何が起きたのか」を知って、それから「自分の会社は関係あるのか」を順番に確かめていけばいいんだ。

ミナ

わたし、システムを作る人じゃないので、むずかしい話だと分からないかもしれません。

ラクにゃん

大丈夫。今日は、システムを作ってもらう側の人が「どこを確かめて、作った会社に何を聞けばいいか」が分かるように話すね。

脆弱性ってなに？：2026年10月の PHP の例

ラクにゃん

脆弱性（ぜいじゃくせい）は、ソフトウェアの中にある「作ったときには気づかなかった弱い所」のことだよ。そこを突かれると、本当はできないはずのことが、外からできてしまうんだ。

ミナ

できないはずのこと、って？

ラクにゃん

2026年10月の例で見てみよう。PHPは、Webサイトを作るときによく使われているプログラムの言語だよ。そのPHPそのものに、深刻な穴が2つ見つかったんだ。まとめて「PHP2Shell」と呼ばれているよ。

ラクにゃん

この穴は、ログインしていない人が、ネット越しに、サーバーの上で勝手にプログラムを動かせるかもしれない、というものだったんだ。サーバーは、ホームページの中身が置いてある、ネットにつながったコンピューターのことだよ。

ミナ

サーバーで勝手にプログラムを動かされると、どうなるんですか？

ラクにゃん

サーバーの持ち主と同じように、中のデータを見たり、書きかえたりできてしまうおそれがあるんだよ。閉店後のお店に、知らない人が鍵なしで入れてしまうようなものだね。

ミナ

こわいですね。ニュースでは、番号みたいなものも見ました。

ラクにゃん

見つかった脆弱性には、世界共通の「CVE」という番号がつくんだ。今回はCVE-2026-109618とCVE-2026-109619。番号があると、国や会社をこえて、どの穴の話かを取り違えずに話せるんだよ。深刻さは「CVSS」という10点満点の点数で表して、今回はどちらも9.2点の「緊急」。ネット越しに、ログインなしで狙えるから、点数が高くなったんだね。

ミナ

WordPressって、聞いたことはあります。

ラクにゃん

ホームページを作って更新するための、よく使われる道具だね。WordPressはPHPの上で動いているんだ。ふだんよく聞く脆弱性は、WordPressのような「上に建つ道具」の穴が多いんだけど、今回は、その土台のPHPそのものの穴だった。だから、上の道具の作りがきちんとしていても、PHPの版（バージョン）が古ければ対象になりうるんだよ。

ラクにゃん

それで、念のためにサイトを止める会社や役所が、たくさん出たんだね。セキュリティの事件をまとめているブログ「piyolog」の集計では、告知で確かめられただけで246の組織が、公開の前後にサービスを止めていたよ。

ミナ

そんなに……。被害はあったんですか？

ラクにゃん

世界中で、攻撃の「試み」はたくさん観測されたよ。海外のセキュリティ会社からは、別の穴と組み合わせて、会社のネットの出入り口に置く見張りの機器（ファイアウォール）などが乗っ取られた例も報告されたんだ。日本を含む4つの国の機器だったよ。

ラクにゃん

ただ、日本の公的な窓口のIPAは、11月2日の時点で「国内での被害の例は把握していない」としているよ。だから、こわがりすぎなくていい。でも、関係ありそうな所は、早めに確かめておこうね。

穴の一生：見つかってから、ふさがるまで

ミナ

穴が見つかったら、どうやってふさぐんですか？

ラクにゃん

穴にも「一生」があるんだ。見つかる → 作った人たちが直した版を出す → 使っている人が入れ替える、の順番だよ。今回の日付を並べてみよう。

ミナ

え、直した版が出る前から、攻撃の試みがあったんですか？

ラクにゃん

そうなんだ。Amazonは、公表の4日前の10月17日に、わざと置いた「おとりのサーバー」で、この穴を使おうとする動きを見つけていたんだよ。穴は、公表されたときに生まれるわけじゃない。だれかが先に見つけていることもあるんだね。

ミナ

じゃあ、公表されたら、急がないといけないんですね。

ラクにゃん

そう。公表されると、穴のある場所が世界中に知られるから、攻撃も一気に増えるんだ。今回も、Cloudflareという会社の代表によると、公表から2時間で数十万件、半日ほどで数百万件の攻撃の試みがあったそうだよ。だから、直した版が出てから入れ替えるまでの日数が、そのまま「危ない日数」になるんだね。

ミナ

何日以内、みたいな目安はあるんですか？

ラクにゃん

国が作った、取引先どうしでセキュリティの対策を見える形にする制度では、深刻な穴の直した版は、出てから14日以内に入れることになっているよ。それに、攻撃がもう見つかっているときは、もっと急ぐのがふつうなんだ。

ミナ

入れ替えるまでの間、何か守るものはないんですか？

ラクにゃん

サイトの手前に置く「WAF（ワフ）」という見張り番が、怪しい通信をはじく決まりを、急いで足してくれることがあるよ。今回も、いくつものWAFの会社が、すぐに決まりを足したんだ。でも、WAFの会社自身も、これは入れ替えまでのつなぎで、いちばん確かな対策は直した版に入れ替えることだとしているよ。

ラクにゃん

それから、入れ替えたくても入れ替えられないこともあるんだ。今回のPHPでは、8.1以前の古い版には、もう直した版が出なかったんだよ。サポートが終わっていたからだね。何年も触っていないサイトほど、危ないままになりやすいんだ。

ミナ

わたしたちは、何を聞けばいいんでしょう？

ラクにゃん

作ってもらった会社に、「穴の知らせはだれが見ていて、何日以内に直してくれますか？」と聞いてみるといいよ。

使っていなければ、安全？

ミナ

じゃあ、PHPを使っていないシステムなら、安心ですね！

ラクにゃん

今回の穴の対象にならない、という意味では、その通りだよ。でもね、「PHPじゃないから安全」とは言い切れないんだ。

ラクにゃん

Node.js、Next.js、React。どれも、PHPと同じように、Webのシステムを作るときによく使われる土台や部品なんだ。名前は覚えなくて大丈夫だよ。PHPの直した版が出た同じ10月21日に、Node.jsでも、穴をふさぐ定例の更新が出ていたんだ。Reactでは、2025年12月に、深刻さが10点満点の10.0の穴が見つかっているよ。

ミナ

どの土台でも、何かしら起きているんですね。

ラクにゃん

そうなんだ。だから、どの言語や部品を使っていても、穴はいつか見つかるもの、と考えるのがいいんだよ。大事なのは、穴が出ないことじゃなくて、見つかったときに何日でふさげるか、なんだね。

ミナ

でも、ニュースを見たときに「うちは関係ある？」って、すぐ分かるものなんですか？

ラクにゃん

そこで役に立つのが、どのシステムに、どの部品の、どの版が入っているかの一覧なんだ。「部品表（SBOM）」というよ。部品表があれば、ニュースを見たその日に、関係あるかどうかが分かるんだね。作ってもらった会社には、「うちのシステムに何が入っているか、一覧はありますか？」と聞いてみてね。

守りの地図：入口・データ・鍵

ミナ

穴が出るものなら、穴があっても、すぐには入られないようにしておくことも大事ですよね。

ラクにゃん

その通り！ そこで、システムの守りを、会社のビルにたとえてみよう。守りは、大きく3つに分けて考えると分かりやすいんだ。

ラクにゃん

1つ目は「入口」。ビルの受付で、だれが入れるか。2つ目は「データ」。奥の金庫室で、入った人がどこまで見られるか。3つ目は「鍵」。鍵の保管室で、システムの中にある大事な合鍵をどう扱うか、だよ。

ミナ

受付、金庫室、鍵の保管室ですね。

ラクにゃん

うん。どれにも共通するコツは、「1か所だけで守らない」こと。順番に見ていこう。

入口：だれが入れる？

ラクにゃん

まずは入口。ビルの受付にあたるのがログインだよ。ここで大事な言葉が2つあるんだ。「認証」と「認可」だね。

ミナ

似ていますね……。

ラクにゃん

認証は「あなたはだれ？」を確かめること。社員証を見せて、本人だと分かってもらうのが認証だよ。認可は「あなたは何をしてよい？」を決めること。社員でも、お金の画面は役員だけ、というように、役割ごとに見られる情報を分けるのが認可なんだ。

ミナ

受付を通ったあとも、フロアごとにカードキーがある感じですね。

ラクにゃん

まさにそれ。それから、社内で使うシステムなら、だれでも自由に登録できる作りにはしないで、管理する人が登録した人だけが入れるようにするのが基本だよ。辞めた人のアカウントは、その日のうちに止める。ここも大事だね。

ミナ

パスワードだけで、本人だと分かるものなんですか？

ラクにゃん

パスワードだけだと、盗まれたらおしまいだね。だから、大事なシステムでは、パスワードに加えて、スマホに届く番号や指紋など、もう1つの確かめ方を組み合わせるんだ。これを「多要素認証」というよ。最近は、偽のサイトでは使えないしくみの「パスキー」のような、だましに強い確かめ方も広がっているんだ。

ミナ

受付でしっかり確かめていれば、それで十分じゃないんですか？

ラクにゃん

それがね、受付だけだと危ないんだ。2025年3月に、Next.jsで、こんな穴が見つかったよ。ログインしているかを入口で確かめるしくみを、ある細工をすると飛ばせてしまったんだ。

ミナ

受付を素通りできちゃう……。

ラクにゃん

そう。だから、守りのしっかりしたシステムは、受付だけで終わりにしないんだよ。データを出すサーバーの側、つまり金庫の前でも、もう一度「この人に見せてよいか」を確かめるんだ。入口の見張りがすり抜けられても、金庫の前で止まる。これを「多層防御」というよ。

ミナ

2回確かめておけば、どちらかに穴があっても、もう片方で止まるんですね。

ラクにゃん

うん。Webのシステムで多い危険の一覧として世界で使われている「OWASP Top 10」でも、2025年版の1位は「アクセス制御の不備」。見てはいけない人に見えたり、してはいけない操作ができたりすることなんだ。それだけ起きやすいんだね。

ラクにゃん

作ってもらった会社には、「ログインはパスワードだけですか？」「辞めた人のアカウントは、だれが止めますか？」と聞いてみてね。

データ：どこまで見られる？

ラクにゃん

次はデータ。データは、ビルの奥の金庫室にしまってあるよ。

ラクにゃん

データの守りで、いちばん大事な考え方は「まず全部の扉を閉めて、必要な所だけを開ける」ことなんだ。最初に全部開けておいて、危ない所を閉めていくやり方だと、閉め忘れが出るからね。

ミナ

閉め忘れって、実際に起きるんですか？

ラクにゃん

起きるんだよ。2026年には、あるAIチャットのアプリで、データの置き場所の設定が「だれでも読める」のままになっていて、2500万人分、約3億件のメッセージが見える状態だったと報告されたんだ。プログラムの穴じゃなくて、設定の開けっぱなしだったんだね。

ミナ

3億件……！ 鍵をかけ忘れた金庫みたいですね。

ラクにゃん

いくつもの会社が同じシステムを使うときは、会社ごとに引き出しを分けて、別の会社の鍵では開かないようにするよ。1つの会社の中でも、部署ごとに分けることがあるね。

ミナ

でも、決まりを作っても、本当に守られているか心配です。

ラクにゃん

いい所に気づいたね。決まりが守られているかは、機械に確かめさせることができるんだ。「A社の人がB社の引き出しを開けようとする」「ログインしていない人が読もうとする」といった、開いてはいけない場面をたくさん用意して、本当に開かないかを自動でテストするんだよ。

ラクにゃん

作ってもらった会社には、「ほかの会社や、ほかの人のデータが見えないことを、どう確かめていますか？」と聞いてみてね。

鍵：大事な合鍵をどう扱う？

ラクにゃん

3つ目は鍵。システムの中には、人が使うパスワードのほかにも、たくさんの「合鍵」があるんだ。たとえば、AIを呼び出すための鍵や、決済のサービスとつなぐための鍵だよ。

ミナ

その鍵が盗まれたら、どうなるんですか？

ラクにゃん

AIの鍵なら、他人が勝手にAIを使って、その料金がこちらに来てしまうかもしれない。決済の鍵なら、もっと大変だね。だから、合鍵は、だれの目にも触れない奥の保管室にしまっておくんだよ。

ラクにゃん

たとえば、スマホやパソコンの画面には、合鍵そのものを渡さないようにするよ。画面に渡したものは、その気になれば、だれでものぞけてしまうからね。代わりに、短い時間だけ使えて、時間が来ると消える入館証を、その都度出すんだ。

ミナ

入館証なら、もし落としても、すぐ使えなくなるんですね。

ラクにゃん

そういうこと。それから、合鍵は、プログラムの設計図と同じ所には書きこまないで、別の金庫で管理するよ。設計図は、作る人みんなが見るものだからね。2025年から2026年にかけて、人気の部品の作り手が、本物そっくりの偽のメールにだまされてアカウントを奪われ、部品に悪いしかけを入れられる事件が何度も起きたんだ。狙われるのは、作り手の手元にある鍵なんだよ。

ミナ

外から届くものにも、気をつけることはありますか？

ラクにゃん

あるよ。たとえば、決済のサービスは「お金が払われました」という知らせを、システムに送ってくるんだ。その知らせは、差出人の印が本物かを確かめてから受け取るよ。偽物の「払われました」を信じたら大変だからね。同じ人が短い時間に何百回もログインを試せないように、回数の制限もかけておくんだ。

ラクにゃん

作ってもらった会社には、「AIや決済の鍵は、どこに置いていますか？」と聞いてみてね。

AIを使うときの守り

ミナ

最近は、AIを使うシステムも増えていますよね。AIならではの心配もありますか？

ラクにゃん

あるよ。IPAが毎年まとめている「情報セキュリティ10大脅威」の、組織向けの2026年版では、「AIの利用をめぐるサイバーリスク」が初めて選ばれて、いきなり3位に入ったんだ。

ミナ

AIに会社のデータを渡したら、AIの勉強に使われてしまいませんか？

ラクにゃん

そこは、使うサービスの約束を確かめるのが大事だよ。たとえば、GoogleのGemini APIの有料のサービスや、AnthropicのClaudeの商用のAPIは、送ったデータをAIの学習には使わない、という約束になっているんだ。逆に、Gemini APIの無料の枠では、学習や改善に使われて、人が読むこともある、と書かれているよ。

ミナ

無料と有料で、ちがうんですね。

ラクにゃん

そう。それに、学習に使わない約束のサービスでも、不正な使い方を見つけるために、一定の期間は保存されることがあるんだ。だから、AIに送るものは、その仕事に必要なものだけにしぼるのが基本だよ。

ラクにゃん

もう1つ、AIが読むメールやWebページの中に、こっそり「この指示に従え」という文を紛れこませる、という手口もあるんだ。だから、AIに持たせる権限は必要な分だけにして、お金を動かしたり、データを消したりする前には、人が確かめるようにしておくと安心だね。

守りは、作って終わりじゃない

ミナ

入口・データ・鍵、しっかり作っておけば、もう大丈夫ですか？

ラクにゃん

作ったあとも、守りは続くんだよ。大きく3つあるんだ。

ラクにゃん

1つ目は見回り。システムが止まったり、おかしな動きをしたりしたら、自動で気づけるようにしておく。2つ目は更新。使っている部品の新しい版や、穴の知らせを、毎日見張っておく。3つ目はバックアップ。それも、取るだけじゃなくて、本当に元に戻せるかを、ときどき練習しておくことが大事なんだ。

ミナ

戻す練習まで？

ラクにゃん

いざというときに戻せなかったら、バックアップの意味がないからね。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、2026年3月の第4.0版で、基本の5か条に「バックアップを取ろう！」を足して、6か条にしたんだよ。

ミナ

もしも、事故が起きてしまったら？

ラクにゃん

まず、被害が広がらないように止める。次に、記録（ログ）を残したまま、何が起きたのかを調べる。そして、関わる人にすぐ知らせる。この順番だよ。作ってもらった会社とは、「何かあったら、だれが、いつまでに、だれに連絡するか」を、先に決めておくと安心だね。

自分の会社で確かめること

ミナ

最後に、今回のPHPの件で、わたしたちが確かめられることはありますか？

ラクにゃん

2つあるよ。1つ目は、ホームページやネットショップ。WordPressなど、PHPで動いているものがないか。作ってくれた会社や、借りているサーバーの会社に、PHPの版を聞いてみてね。

ミナ

版を聞いて、何と答えてもらえたら安全なんですか？

ラクにゃん

PHP 8.5.12、8.4.27、8.3.36、8.2.35、またはそれより新しい版なら、今回の穴はふさがっているよ。むずかしければ、「2026年10月21日に出た、PHPの直した版は入っていますか？」と聞けば伝わるはずだよ。8.1以前と言われたら、直した版がないから、新しい版に上げる相談をしようね。

ミナ

借りているサーバーの場合は、サーバーの会社が直してくれるんですか？

ラクにゃん

今回は、レンタルサーバーの多くの会社が、すぐに直して、お知らせを出していたよ。ただ、古い版を自分で選んで使っている場合などは、自分で切り替える必要があることもあるんだ。借りているサーバーの会社のお知らせを、一度見てみてね。

ミナ

もう入られていたかどうかは、どうやって分かるんですか？

ラクにゃん

サーバーの記録を見ると、攻撃のあとが残っていることがあるよ。作った会社やサーバーの会社に、調べてもらってね。ただ、日本の窓口のJPCERT/CCも、あとが見つからなくても、攻撃を受けていないとは言い切れない、としているんだ。だから、確かめるのと一緒に、直した版に入れ替えておくことが大事なんだよ。

ミナ

作った会社と、もう連絡が取れないときは……？

ラクにゃん

まずは、借りているサーバーの会社に相談してみてね。何年も触っていないサイトなら、この機会に、ほかの会社に見てもらったり、作り直しを考えたりするのもいいと思うよ。

ラクにゃん

2つ目は、意外な所なんだ。ルーターやVPN、複合機、NASといった機器。実は、機器の管理画面に、PHPが使われていることがあるんだよ。IPAも、VPN機器やセキュリティ製品の管理画面などにPHPが使われているとして、メーカーのお知らせを確かめて更新するよう呼びかけているんだ。

ミナ

機器の中にも……。知らなかったです。

ラクにゃん

メーカーのお知らせのページに、影響があるかどうかが出ていることが多いよ。分からなければ、機器を入れてくれた会社に聞いてみてね。

まとめ：穴はなくならない。だから、何重にも

ミナ

脆弱性って、こわいものだと思っていましたけど、どこを見て、だれに何を聞けばいいかが分かってきました。

ラクにゃん

よかった。最後に、作ってもらった会社に聞くことを、まとめておくね。

• 更新：穴の知らせはだれが見ていて、何日以内に直してくれますか？
• 部品表：うちのシステムに何が入っているか、一覧はありますか？
• 入口：ログインはパスワードだけですか？ 辞めた人のアカウントは、だれが止めますか？
• データ：ほかの会社や、ほかの人のデータが見えないことを、どう確かめていますか？
• 鍵：AIや決済の鍵は、どこに置いていますか？
• もしも：何かあったら、だれが、いつまでに連絡をくれますか？ バックアップから戻す練習はしていますか？

ミナ

これなら、わたしでも聞けそうです。

ラクにゃん

穴はなくならないけど、何重にも守っておけば、1か所に穴があっても、ほかで止められるんだよ。このお話は、YouTubeでも解説しているよ。

参考サイトと出典

• PHP の脆弱性（CVE-2026-109618 等）に関する注意喚起（JPCERT/CC）
• PHP の脆弱性対策について（IPA）
• GHSA-w8hw-w9fx-j79w（PHP 公式のアドバイザリ）
• GHSA-6wmf-4rv5-p3rp（PHP 公式のアドバイザリ）
• Today's PHP security release（The PHP Foundation）
• PHP2Shell についてまとめてみた（piyolog）
• Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure（AWS Security Blog）
• PHP の脆弱性を悪用した連鎖攻撃の報告（マイナビ TECH+）
• October 2026 Security Releases（Node.js）
• Node.js security advisory（Vercel）
• Critical Security Vulnerability in React Server Components（React）
• Postmortem on Next.js middleware bypass（Vercel）
• Self-propagating supply chain attack hits 187 npm packages（BleepingComputer）
• Widespread Supply Chain Compromise Impacting npm Ecosystem（CISA）
• Firebase misconfiguration exposes Chat & Ask AI users（HackRead）
• OWASP Top 10:2025（日本語）
• 情報セキュリティ10大脅威 2026（IPA）
• 中小企業の情報セキュリティ対策ガイドライン 第4.0版（IPA）
• SCS 評価制度 要求事項・評価基準（IPA）
• Gemini API 追加利用規約（Google）
• Commercial Terms of Service（Anthropic）