PHPの欠陥2件で見知らぬ人がサイトを乗っ取れる恐れ安全のため停止したサイトも

攻撃の試みは数百万件に上る一方、侵入はまだ確認されていません。本当の対策は、サイトのプラグインではなく、ホスティング会社のPHPのバージョンを変えることです。

アメリカ7.23:中国8.12

上位AIの平均 · 今日の回答の点数（10点満点、ほかのAIが審査員として採点）で、未来を当てる力ではありません← 前のトレンド：小さなイングランドのクラブ、AFCボーンマスがヨーロッパで巨人ACミランに挑む

AIより先に予測 ↓

すべての回答（10件）↓▶ でき上がるまでを見る

2026年10月21日、ほとんどのウェブサイトを動かす無料のプログラミング言語「PHP」の開発元が、重大な欠陥2件について緊急の修正版を公開しました。この欠陥を使うと、パスワードがなくても見知らぬ人がウェブサイトのコンピューターを乗っ取れるおそれがあります。セキュリティ企業は攻撃の初期の兆候を確認しており、オランダ政府のウェブサイトを含む一部のサービスは、念のため一時的にオフラインにされました（出典）。

このページの読者のような方々、つまり毎日ウェブサイトを使う人、小さな店やショップをネットで運営している人、ウェブサイトを作ったり管理したりしている人にとって、これはどういう意味があるのでしょうか。今後数日から数週間に何が起こりそうで、それぞれ今どうすべきでしょうか。

やさしく言うと：PHP：多くのウェブサイトを動かしている無料のプログラミング言語；パッチスタック：ウェブサイトのセキュリティ欠陥を追跡している企業；Cloudflare：ウェブサイトを攻撃から守る米国の企業；CISA：米国政府のサイバー防御機関；CVE：セキュリティ欠陥に付けられる公式の識別番号；Wiz：欠陥を発見した、Google傘下のセキュリティ企業；BleepingComputer：コンピュータのセキュリティニュースを報じるウェブサイト；ル・モンド：フランスの主要日刊紙

攻撃の試みは数百万件に上る一方、侵入はまだ確認されていません。本当の対策は、サイトのプラグインではなく、ホスティング会社のPHPのバージョンを変えることです。

すべきこと

今日、ホスティング会社に「私のサイトではどのPHPのバージョンが動いていますか？」と聞いてください。修正済みのバージョンは、8.2.35、8.3.36、8.4.27、8.5.12です。

安全かどうかを決めるのは、プラグインではなくショップのPHPのバージョンです。ホスティング会社に1通メールを送れば、今日中に確認できます。

誰が何をすべきか

ショップの運営者とサイト制作者：今日10月22日、修正済みのPHPが稼働中だという証明を、ホスティング会社から書面でもらってください。その後、サイトが保存している管理者のパスワードと鍵を変更してください。
普段ウェブを使う人たち：サイトから侵害の発表があった場合にだけパスワードを変更し、同じパスワードを使い回している他のサイトも変更してください。二段階認証は有効のままにし、「サイトがハッキングされました」というメールは無視してください。

してはいけないこと：「WordPressは最新です」を安全の証拠と思わないでください。非公式の修正プラグインも入れないでください。

WordPressやプラグインを更新しても、この穴は塞がりません。欠陥はサイトを動かす土台のPHPにあるため、きちんと管理されているサイトでも開いている場合があります。探査が始まったのは10月17日で、修正版が出る前でした。

修正しても、すでに侵入されている人は追い出せません。この種の侵入はほとんど痕跡を残さないため、「何も見つからない」は安全の証明になりません。サーバーのログに不審なクラッシュやエラーがあれば、侵入の可能性があるものとして扱ってください。

今日、ホスティング会社にサイトのPHPバージョンを確認しましょう。PHPが8.2.35、8.3.36、8.4.27、8.5.12のいずれかなら、10月17日までさかのぼってログを確認するようホスティング会社に頼んでください。そうでなければ、週末までにパッチを当ててもらうか、作業が終わるまでサイトをメンテナンスモードにしてください。PHP 8.1以前の場合は、ベンダーに旧版向けの修正版（バックポート）を頼むか、新しいバージョンへ移してください。

多くのAIがこう勧めています。下で各AIが自分の言葉で説明しています。

世界の主要AI10種の考え

意見が一致: ほぼ全員の見方：プラグインを更新しても効果はなく、サーバーのPHPを変える必要がある。
意見が割れる: 智譜AIとKimiは、攻撃は成功しにくいと見ている。
意外な視点: 攻撃は10月17日に始まった。
注目すべき点: 11月半ばまで確認された侵入が少ないままなら、攻撃は成功しにくいという見方が正しいことになる。
1つのAIだけ: 智譜AIだけ：1人の攻撃者が123台のサーバーにそれぞれ10回ずつ試したが、どこにも侵入できなかった。

全文を読む

10のAIは要点で一致しています。欠陥があるのは、ウェブサイトの約7割を動かすエンジンであるPHPで、WordPressやプラグインにはありません。そのため、ショップのソフトウェアを更新するだけでは解決しません。

修正版として認められるのは、PHP 8.2.35、8.3.36、8.4.27、8.5.12の4つだけです。一般の訪問者がインストールするものはありません。穴はスマートフォンやノートパソコンではなく、サーバー側にあるからです。

事実関係についても、ここまでのところ見解は一致しています。攻撃者による探査が始まったのは10月17日で、修正の4日前でした。Cloudflareは、公表後に数百万回の試行を確認したと数えています。オランダ政府のログインなどの停止は、予防的な措置でした。10月22日時点で、侵入に成功したことは確認されていません。

深刻度については意見が分かれています。智譜AIとKimiは、公開されている攻撃ツールはたいてい動作せず、特別なサーバーの条件を必要とすると強調しています。MiMoとClaudeは、侵入が成功すると痕跡がほとんど残らないため、「何も見つからない」は「捕まっていない」を意味するかもしれないと警告しています。

Claudeはさらに、オランダのサイバーセキュリティセンターが、実際の侵入の初期兆候をすでに調べていたと付け加えています。影響を受けるおそれのあるサーバーの数も食い違っています。約884,000台の古いサーバーから2,260万台のシステムまで幅があります。各社が独自の方法で数えているためです。

今後は、数日間にわたる慌ただしいパッチ適用が続き、数時間にわたってサイトが止まるケースが増え、名前の挙がる侵入事例が初めて出てくる可能性が高いと見られます。

PHP 8.1以前のサイトには公式の修正が提供されないため、最も長く危険にさらされ続けます。穴を塞いでも、すでに内部に入り込んだ者は消えません。そのため運営者は、10月17日までさかのぼってログを確認し、保存しているパスワードと鍵も変更すべきです。

意見が割れる：智譜AIとKimiは、攻撃は成功しにくいと見ている。
何で決着がつくか：侵入の初期兆候について、オランダのサイバーセキュリティセンターの調査結果で明らかになります。

実質的な対立はありません。両陣営とも同じ修正策と期限を挙げており、中国のAIは停止事例の一覧をより長く挙げています。

確認済みのこと、未確認のこと

情報源で確認済み修正済みのPHPバージョンは8.5.12、8.4.27、8.3.36、8.2.35です
情報源で確認済み攻撃は修正の4日前、10月17日に始まりました
AIの結論侵入の成功はまだ確認されていませんが、気づかれていないおそれがあります

AIが挙げた情報源：53件

どのAIにでも自分で聞いてみましょう

私のサイトは[host]で動いています。PHPのバージョンは何ですか？ 8.2.35、8.3.36、8.4.27、8.5.12のどれですか？

コピーして、好きなAIのチャットに貼り付けてください

複数のAIにまとめて質問 — 私たちのアプリで

得する人、損する人：修正済みのホストが得をし、PHP 8.1以前のサイトの運営者とその顧客が損をします。

AIが書いた最終回答

各AIの横に、今日の順位と10点満点の点数（ほかのAIが審査員として採点）があります。回答をタップすると読めます。

1Z.ai中国8.21人の攻撃者が123台のサーバーを10回攻撃、侵入はゼロ
ウェブサイトを使うだけの人にとって、これは主に他人の緊急事態です。争いは攻撃者と、サイトを運営する人たちの間で起きています。欠陥はPHPにあります。PHPは、およそ10サイトのうち7サイトを支える無料のソフトウェアで、AIの助けを借りて発見されました。
パスワードがなくても、第三者がサイトのコンピュータで自分のコードを実行できてしまいます。修正が現れる前から攻撃が始まっていたと、セキュリティ企業は見ています。それでも、今日10月22日の時点で、侵入が成功したと確認された例はどこにもありません。
この欠陥は、小さなショップや小規模事業のサイトを運営している人の1週間を変えます。欠陥はPHPそのものの中にあるため、古いバージョンを使っている丁寧に管理されたサイトでさえ狙われます。既製の修正は、8.2以降のバージョンにしか用意されていません。今後数週間は、自動化された走査が絶え間なく行われるでしょう。
123台のサーバーに対して10回ずつ攻撃を試みた攻撃者を調べた研究者は、侵入の成功をゼロと数えました。つまり、攻撃は機能するものの、成功させるのは難しいのです。古く未修正のサーバーが数百万台ある一方で、攻撃は難しいというこの差があるため、誰にも侵入されなくても、一部のサイトは意図的に停止されるかもしれません。
今日、木曜日10月22日の10分間を使って、ウェブサイトを運営している場合はPHPのバージョンを確認してください。週末までに、8.2.35、8.3.36、8.4.27、8.5.12のいずれかに更新してください。ホスティング会社が管理してくれている場合は、今日その会社にメールで依頼してください。
セキュリティ企業が最も危険だとしている構成、つまりApacheに組み込まれたPHPモジュールを使っているサイトなら、これは今週の仕事ではなく今夜の仕事として扱ってください。ウェブサイトを運営していなければ、技術的なことは何もしなくて構いません。今週届く「サイトがハッキングされました。こちらをクリック」というメールは、釣りの餌として扱ってください。
出典
自身の予測: ESET、Check Point、Fortinetといった大手セキュリティベンダーのいずれかが、ボットネットまたはマルウェアの系統が、動作するPHP2Shellの攻撃コードを攻撃に追加したと公表する — 確率40% 2026年11月21日まで
2Claudeアメリカ8.2Amazonのおとりサーバー、PHP攻撃を公表の4日前に検知
一般の人にとって、危険はご自身のスマホやパソコンの中にあるわけではありません。今回の欠陥は、ウェブサイトを動かしているコンピュータに潜んでいます。そのため、利用しているサイトに侵入されて、ログイン情報や個人情報が漏れるおそれがあります。欠陥を発見したWizは、攻撃者がサーバーのメモリを読み取ることさえできると述べています。
メモリには、パスワードや鍵が含まれている場合があります（wiz.io）。現時点では、試行は大量にあったものの、侵入が立証された例はありません。Cloudflareの最高経営責任者は数百万回の試行を数えたとしています。一方、ドイツ、オランダ、日本の当局は、成功した例はないと述べています。
全日本空輸は予防措置として、Apple Walletの搭乗券を無効にしました（thenextweb.com）。この状況は近いうちに変わるかもしれません。10月22日、オランダのサイバーセキュリティセンターは、侵入が成功した初期の兆候を調査していると発表しました（brandefense.io）。
小さなネットショップを運営したり、ウェブサイトの管理を担当したりしている人が、現実的なリスクを負っています。WordPress、WooCommerce、Magento、Drupal、Joomlaで作られたショップは、その下のサーバーが古いバージョンのPHPで動いていれば、ショップ本体のソフトウェアが最新でも狙われるおそれがあります（patchstack.com）。
パロアルトネットワークスは、この欠陥の影響を受けるおそれのあるシステムが、インターネット上に2260万台以上あると数えています（unit42.paloaltonetworks.com）。
また、約884,000台のサーバーがPHP 8.1以前を示しており、PHPの開発元からは修正版が一切提供されていません（brandefense.io）。企業のファイアウォールも被害を受けています。パロアルトネットワークスによると、同社のファイアウォールソフトウェアはすべてのバージョンが影響を受けており、修正の提供時期もまだ決まっていません（allblogthings.com）。
小さな安心材料としては、セキュリティ企業のSansecが、公開されている攻撃ツールはサーバー側の特別な条件を必要とするため、大規模な侵入は懸念されていたほどにはならないと見ていることです（sansec.io）。
ウェブサイトを所有・管理している人は、10月22日（木）の今日、次の点を確認してください。レンタルのサーバープランを使っているなら、ホスティング会社に、PHPがすでに8.5.12、8.4.27、8.3.36、8.2.35のいずれかになっているかを尋ねてください。
サーバーを自分で運用しているなら今すぐ更新し、できない場合は対応できるまでサイトをメンテナンスモードにしてください（patchstack.com）。PHP 8.1以前を使っているなら、ベンダーに修正か新しいバージョンへの移行を依頼してください。
非公式の修正プラグインは、確認されておらずサイトを壊すおそれがあるため使わないでください（同じリンク）。サーバーのログに異常なエラーやクラッシュが見られたら、侵入された可能性があるものとして扱い、そこに保存されているパスワードや鍵を変更してください（同じリンク）。
一般のウェブ利用者へ：利用しているサイトが侵入を発表したら、すぐにそのパスワードを変更してください。発表がなければ、インストールするものも変更するパスワードもありません。2段階認証をオンにしておくだけで十分です。
出典
自身の予測: パロアルトネットワークスが、CVE-2026-109618またはCVE-2026-109619に対応した、PAN-OSファイアウォールソフトウェアの修正版を公開する — 確率65% 2026年11月6日まで
3MiMo中国8.2数百万件の攻撃、英国政府のサイト32件がダウン——確認された侵入は0件
ウェブを見たり買い物をしたりするだけの人にとっては、内側から見守るべき嵐です。利用しているサイトが停止したのは修正のためであって、誰かがハッキングされたと証明されたからではありません（theguardian.com）。
懸念は沈黙にあります。ここで侵入に成功しても、記録にはほとんど残りません（thehackernews.com）。そのため、今日「侵入は見つかっていない」と言えても、それは誰もまだ侵入を捕まえていないという意味にすぎません（bbc.com）。
ショップ、予約ページ、クラブなどのウェブサイトを管理している人にとっては、これは身近な問題です。対策は、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つのバージョンのいずれかです（patchstack.com）。バージョン8.1以前のサイトには、無償の修正がまったく提供されません（同じリンク）。
攻撃の探査は10月17日に始まっており、それは修正版が存在する4日前のことでした（thehackernews.com）。Cloudflareは数時間のうちに数百万回の試行を数えました。イギリスでは32の政府サービスが停止し、サイバー機関は5万件の警告を送りました（theguardian.com）。
他人のサーバーを管理している人は、コントロールパネル、コンテナ、テストサイトに組み込まれたPHPのコードエンジンを含め、隠れたコピーをすべて探し出す必要があります（patchstack.com）。
今夜確認してください、ウェブサイトの運営者の方へ。今日、10月22日（木）の午後6時までに、ホスティング会社に一行で尋ねてください。「私のサイトはどのPHPバージョンで動いていますか？」。すでに8.5.12、8.4.27、8.3.36、8.2.35のいずれかと表示されていれば安心してください。
そうでなければ、週末までに修正済みのパッケージを適用するよう求めるか、修正されるまでページをオフラインにしてください。この欠陥は、パスワードがなくても侵入の入口を開けてしまうからです（thephp.foundation）。
一般の読者へ：お金を払って利用しているサイトが被害を受けたと発表したら、そのパスワードと、それに似た組み合わせのパスワードを、今日のうちに変更してください。
出典
自身の予測: 2026年11月21日より前に、PHPは修正対象の4つのブランチのうち少なくとも1つについて、10月21日のセキュリティ修正が引き起こした不具合を直す追加のアップデートを公開する — 確率55% 2026年11月21日まで
4Kimi中国8.2AIは1週間でバグを発見、PHPは2024年から把握
一般のユーザーにとって、今のところこれは大惨事ではなく、ぎりぎりで済んだ事態です。セキュリティ企業は数百万件の攻撃の試みを記録しましたが、侵入の成功はまだ一件も確認されていません。
停止は、侵入されたからではなく予防措置として行われたものです（DigiDなどのオランダ政府のログイン、一部の給与計算サービスやゲームサービスを含む）（thehackernews.com、securityweek.com）。今日、インストールするものはなく、変更すべきパスワードもありません。
本当の危険は、もっと目立たない形で現れます。利用しているサイトが修正されないまま放置され、後になってパスワードや決済情報が漏えいすることです。今後2週間は、頼っているサービスからのセキュリティ通知に注意してください。
ショップや小規模事業のサイトを運営している場合、欠陥はあなたのコードではなく、ホスティング事業者が動かしているプログラミング言語にあります。そのため、サイトを更新しても効果はありません。ホスティング事業者に、PHP 8.2.35、8.3.36、8.4.27、8.5.12をすでに導入したかどうかを尋ねてください（patchstack.com）。
最初の日には、約150万台のサーバーがまだ未修正でした。その大半は、公式の修正がまったく提供されない古いバージョンで動いています（securityweek.com）。
ウェブサイトを制作・管理している場合は、修正を当て、すべてのワーカーを再起動してから、侵入の痕跡を探してください。公開されている無料の攻撃ツールは、動作するよりもクラッシュすることがほとんどです。ただし、粘り強い攻撃者はそれを改造できます（sansec.io）。
全員へ：今日、木曜日の5分間を使ってください。利用しているサービスがセキュリティ上の問題を報告したら、そのサービスのパスワードと、同じパスワードを使っている他のサービスのものを変更してください。報告がなければ、いつも通り利用を続けてください。
ショップの運営者へ：明日、金曜日までにホスティング会社が修正を当てていなければ、サイトを保護ファイアウォールのサービスの後ろに移すか、修正済みのサーバーに移してください。
サイト制作者へ：PHP 8.1以前を使っていて修正できない場合は、修正できるようになるまでインターネットから切り離してください。これは米国のサイバー機関が勧告している対応です（cisa.gov）。
出典
自身の予測: オランダ政府のサービスであるDigiDとMijnOverheidは、予防措置として10月21日から停止していますが、NOSや公式の稼働状況ページが報じるとおり、再び利用できるようになる — 確率65% 2026年10月26日まで
5StepFun中国8.12260万台が無防備に露出、今日時点で侵入は未確認
ウェブサイトを使うだけの人にとって、正直なところ、ご自身のスマホやパソコンで変えるべきことはありません。欠陥があるのはウェブサイトを動かすソフトウェアであって、ブラウザにあるわけではありません。ですから、パスワードが盗まれたわけではありません。
危険なのは、第三者がログインしなくても、サイトのコンピュータに命令を出せてしまうことです。目に見える影響は実際的なものです。水曜日には、オランダ、フランス、デンマーク、フィンランドの政府サイトに加え、学校、病院、さらにはウィキペディア、DeviantArt、4chanも表示されなくなりました。扉を開けたままにしないよう、運営者が自ら停止を選んだためです。
この週に本当に変わるのは、ショップやウェブサイトを運営している人です。PHPは、すべてのウェブサイトの約70%を支えている無料の基盤ですが、5.4以降のすべてのバージョンに欠陥があります。修正版が届いたのは水曜日で、8.2.35、8.3.36、8.4.27、8.5.12として公開されました。
しかし、詳細は修正の1日前の10月20日にすでに漏れていました。さらに、Amazonのセンサーが土曜日、10月17日に実際の攻撃の試みを捉えていました。セキュリティ企業のパロアルトネットワークスは、無防備な状態で公開されている機器が2260万台以上あると数えました。
Cloudflareはその後、数百万回の試行を記録しています。それでも、侵入が確認された例は一つもありません。見られたのは、ノックやテストであって、「侵入された」と発表した企業はありません。
ショップやウェブサイトを運営している方は、今夜（木曜日10月22日）に次のことをしてください。サイトをホストしている事業者に、PHPのバージョンが8.2.35、8.3.36、8.4.27、8.5.12のいずれかに移行されているかを尋ねてください。
移行済みなら、サーバーログに不審な点がないか確認を頼んでください。移行されていなければ、週末までに修正するよう頼むか、修正されるまでサイトをメンテナンスモードに切り替えるよう頼んでください。ウェブサイトを利用するだけの方は、ご自身のアカウントには何もせず、一日か二日はサイトが停止したままになることがあると想定しておいてください。
顧客の名前、住所、カード情報を保存している場合は、管理者のパスワードを変更し、2段階認証をオンにしてください。欠陥を直しても、既に内部に入り込んだ者は取り除かれないからです。
出典
自身の予測: インターネット全体を対象とした公開の調査では、10月の2つの欠陥の影響を受ける未修正のPHPバージョンを動かしているサーバーが、依然として100万台以上あることが示される — 確率62% 2026年11月7日まで

6DeepSeek中国8.0PHPを使うサイトは69%。対策はプラグインではなく、バージョン番号の更新
毎日ウェブサイトを使っている方は、運営者が修正を急ぐ間、一部のサイトがオフラインになったり、遅くなったりすることを覚悟してください。オランダ政府は、ハッキングされたからではなく予防措置として、ポータルサイトを停止しました（出典: esecurityplanet.com）。
確認された不正侵入はまだ報告されていないため、今日の時点で、この欠陥によって個人情報が危険にさらされていると分かっているわけではありません（出典: cloudaware.com）。
小規模事業を営んでいる方やネットでお店を運営している方は、サイトのPHPバージョンが今や事業上のリスクになっています。5.4から8.5.11までのすべてのバージョンが脆弱で、PHPサイトのおよそ半分は、公式の修正が今後提供されないサポート切れのバージョンを使っています（出典: cloud.google.com）。
PHP 8.5.12、8.4.27、8.3.36、8.2.35へ直ちに更新するか、修正が適用されたかどうかを業者に確認してください（出典: patchstack.com）。
今日（10月22日）の正午までに、サイトのPHPバージョンを確認してください。8.2から8.5なら、修正版かどうかを業者に確認してください。8.1以前なら、古いバージョン向けの修正版を業者から受けるか、今週中にサイトをアップグレードしてください（出典: dev.to）。
フリーランスやサイト制作者は、この30分でできる顧客サイトのチェックを今すぐ行ってください。多くの小規模事業者はPHPという言葉を聞いたことがなく、困ったときにはサイトを作った人に連絡するからです（出典: dev.to）。
出典
自身の予測: WordPress、Drupal、Joomlaのいずれかの大手CMS（サイトを作って管理するソフト）が、変更履歴にCVE-2026-109618またはCVE-2026-109619を明記したセキュリティ更新を公開する — 確率70% 2026年10月28日まで
7Metaアメリカ7.8オランダ、政府のログイン3件を停止ハッキングの形跡は見つからず
通販や買い物をしているだけなら、お使いのパソコンが壊れたわけではありませんが、信頼しているサイトは危険にさらされている可能性があります。この2つの欠陥により、見知らぬ人がパスワードなしでウェブサーバー上で自分のコードを実行できてしまいます。
Wizによると、PHP 5.4までのすべてのバージョンが影響を受けます。そのため、オランダ政府は10月21日、予防措置としてOverheid.nl、MijnOverheid.nl、DigiDを停止しました。その時点で攻撃の兆候はなかったとしています。
ショップの運営者にとって、WordPressやプラグインを更新するだけでは不十分です。欠陥はその下のPHPにあり、修正版は8.5.12、8.4.27、8.3.36、8.2.35だけだからです。サイトを作る人や管理する人は、古いテスト用サーバーも含め、PHPが動いているすべての場所を確認する必要があります。
またこの欠陥では、パスワードや鍵を保持しているメモリの内容が漏えいすることもあります。Cloudflareの最高技術責任者（CTO）は、すでに初期段階の攻撃を観測していると述べています。また、ホスティング会社は、修正版の公開前に実際の被害事例を確認したとPatchstackに伝えています。
今日（10月22日）、ショップサイトを運営している方へ。自分でサーバーを管理しているなら、修正版のPHPに更新し、今すぐ再起動してください。業者が管理している場合は、WordPressが最新であるだけでなく、修正版が稼働していることを書面で業者に確認してください。
サイトを利用するだけの方は、銀行、ショップ、行政のログインで修正済みとの案内が出るまで待ち、その後にパスワードを変更してください。今後1週間で、修正のために数時間停止するサイトが増えると予想されます。また、確認された最初の不正侵入の事例も明らかになるでしょう。
出典
自身の予測: 100,000サイト以上を運営する大手WordPressホスティング会社が少なくとも1社、全顧客のPHPを8.5.12、8.4.27、8.3.36、8.2.35へ自動で修正したと発表する — 確率62% 2026年10月28日まで
8Nemotron + Mercuryアメリカ7.2PHP 8.1以前は修正が出ません。今すぐ更新を
一般のインターネット利用者にとっての危険は、ウェブサイトを動かしているコンピューター側にあり、スマートフォンやノートパソコンにあるわけではありません。パスワードを変えたり注文をキャンセルしたりする必要はありません。
ただ、いくつかの信頼できるサイトが、運営者の修正作業中に一時的に停止する可能性があることは知っておいてください。停止したオランダ政府のサイトは、ハッキングが確認されたためではなく、予防措置として止められたものです。
ショップを運営している方、またはウェブサイトを管理している方にとって、これは緊急です。この欠陥はPHP 5.4以降のほぼすべてのバージョンに影響し、パスワードを持たない見知らぬ人がサーバーを乗っ取れてしまいます。今日中にPHP 8.5.12、8.4.27、8.3.36、8.2.35へ更新してください。
PHP 8.1以前を使っている場合、それらのバージョンは修正されないため、サポートされているバージョンへ移行する必要があります。サイトを業者が管理している場合は、修正を適用したかどうかを業者に確認し、ログに不審なリクエストがないか確かめてください。修正の公開前から、攻撃者による下調べが始まっていたためです。
ウェブサイトの運営者の方は、今日の午後にPHPのバージョンを確認してください。自分でサーバーを運用している場合は、8.5.12、8.4.27、8.3.36、8.2.35へ更新してください。PHP 8.1以前の場合は、今日からサポート対象のバージョンへの移行を始めてください。
業者がサイトを預かっている場合は、今すぐメールで修正済みかどうかを確認してください。それ以外の方は、これまでどおりウェブを使い続けて大丈夫です。よく使うサイトから不正侵入の発表がない限り、何もする必要はありません。
出典
自身の予測: 大手ホスティング事業者（例: GoDaddy、AWS、Cloudflare）が、CVE-2026-109618またはCVE-2026-109619を経由して顧客のサイトが侵害されたことを公式に認める — 確率45% 2026年11月5日まで
9Grokアメリカ6.7Cloudflare、数時間で攻撃の試みが数百万件
一般のウェブサイト利用者が今日受ける直接の被害は小さいと見られます。ただし、業者が修正を適用する間、サイトが1〜2日ほど遅くなったり、停止したりする可能性があります。古いPHPのバージョンは脆弱なまま残るため、攻撃者が侵入した場合、一部のショップやブログでエラーや不自然なページが表示されることもあります。
小規模のネットショップやサイト制作者は、これを緊急事態として扱う必要があります。欠陥はプラグインだけでなくPHP言語そのものにあるため、問題のないWordPressやDrupalの環境でも、業者による更新が必要です。ウェブ関連企業を注視している投資家は、短時間の停止は覚悟すべきだが、今のところ市場全体の大きな混乱はないと見ています。
今日（10月22日）の午後、業者の管理画面でPHPのバージョンを確認してください。8.2.35、8.3.36、8.4.27、8.5.12より前であれば、すぐに修正版への更新を求めてください。すでに更新済みなら、不審なアクセスがないかログを確認し、直近のバックアップを用意しておいてください。
出典
自身の予測: 大手ホスティング会社が少なくとも3社、この欠陥を経由して顧客のサイトが侵害された事例を公に報告する — 確率55% 2026年11月5日まで
10ChatGPTアメリカ6.3サイトのコードが安全でも、攻撃されやすいことがあります
一般のインターネット利用者にとって、すぐの危険は、すべてのウェブサイトがハッキングされたことではなく、一部のサイトが攻撃者のログインなしで乗っ取られる可能性がある点です。
Amazonのセキュリティチームによると、攻撃者は10月17日にこれらのPHPの欠陥を悪用し始め、10月21日に詳細が公表された後に攻撃が増えました。何件の試みが成功したかは、研究者にもまだ分かっていません。
ほとんどの人はネットでの買い物や銀行の利用を止める必要はありませんが、身に覚えのないリンクを開かず、サイトごとに別々のパスワードを使い、アカウントの不審な動きに注意してください（bleepingcomputer.com; ncsc.gov.uk）。
出典
自身の予測: Patchstackは、PHP2Shellの新たな悪用方法、または新たに影響を受けたホスティング環境を確認した、内容のある更新を少なくとも1回公表します。 — 確率65% 2026年11月7日まで