PHPの脆弱性とは？ WordPressとWi-Fiを60代の私が見直した

ハウル

みなさんこんにちは。ハウルブログです。今日も元気にお過ごしでしょうか。

人生100年と言われる時代です。還暦（60歳）を過ぎても、まだ残り40年あります。このブログが、還暦を過ぎたみなさまにとって何かのヒントになればと思い、書き続けています。

今日は「PHPの脆弱性と、WordPressとWi-Fiの見直し」について書いてみます。

毎朝、リベ大（リベラルアーツ大学）のYouTubeを聞くのが日課です。昨日と今日の、両学長の話によく出てくるのが「PHPの脆弱性」でした。

10月21日の午後11時（日本時間）に、PHPの修正パッチが公開されました。その前には、なんと高市早苗首相がXで「修正パッチが出たら、すぐに当てる準備を」と呼びかけています。首相がプログラムの話をするなんて、私の記憶にはありません。

私の見たところ、10月23日の16時54分の時点で、その投稿の表示回数は9,615万回。日本の人口の8割に近い数です（同じ人が何度も見た分も入っていますが）。Web界隈がにぎやかになるのも、うなずけます。

このブログ（ハウルブログ）も、WordPressで動いています。WordPressは、PHPというプログラムの言葉で作られています。つまり、他人事ではありません。私も早速、自分のサイトのPHPを確かめました。

結論から言うと、ブログやホームページを持っている人は、PHPのバージョンを確かめて、修正版になっているかを見ておくこと。そして、ついでに家のWi-Fiルーターも見直す。この2つをやっておけば、ひとまず安心です。

PHPの脆弱性とは？ 世界中のサイトに空いた「穴」

まず、言葉を整理します。

• PHP：ホームページを動かすためのプログラムの言葉。WordPressもこれで動いている
• 脆弱性（ぜいじゃくせい）：プログラムの弱いところ。泥棒が入れる「穴」
• 修正パッチ：その穴をふさぐための「つぎあて」

今回見つかった穴は2つ。専門家の間では「php2shell（ピーエイチピー・トゥー・シェル）」と呼ばれています。

どれくらい危ないかというと、深刻さを表す点数が10点満点で9.2。ログインしなくても、外からサイトのコンピューターを好きなように動かせてしまう、という種類の穴です。家にたとえると、鍵がかかっていても、外から勝手に玄関を開けられてしまうようなものです。

しかも、PHPは世界のホームページのおよそ7割で使われているといわれます。過去10年ほどのPHPのほとんどが当てはまるそうで、まさに「世界中の家に同じ穴が空いていた」状態でした。

修正版は、次の番号です。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

これより古い番号のままだと、穴が空いたままということになります。なお、PHP 8.1より前の古いものには、ふつうの形での修正版が出ていません。古いPHPを使っている人は、新しいものに移る必要があります。

なぜ首相まで呼びかけたのか

今回は、ふだんの「アップデートしてください」とは、騒ぎの大きさが違いました。

国内では、ネットショップのBASEや、保育園向けのコドモンなどが、念のためにサービスを止めました。海外でも、オランダやフィンランドなどで、政府のサイトが一時的に閉じられています。国の機関（国家サイバー統括室）も、「すぐにパッチを当てて。無理ならサイトを一時止めることも考えて」と注意を出しました。

国のトップが呼びかけるほど、影響の広い穴だったわけです。

エージェント型AIが「穴」を見つける時代

両学長の話で、私がいちばん「なるほど」と思ったのが、AIの話です。

いまのAIは、ただ質問に答えるだけではありません。自分で考えて、調べて、作業を進める「エージェント型AI」が、どんどん賢くなっています。そのAIが、世界中のプログラムを読んで、人間が見落としていた穴を見つけてしまう。悪い人がそれを使えば、穴を見つけて攻撃するのも、ずっと早くなります（私の理解の範囲ですが）。

調べてみると、今回のPHPの穴も、実はAIを使って見つかったものでした。見つけたのは、セキュリティの会社の研究者たち。OpenAIやGoogleのAIを使って、PHPを調べていたそうです。つまり今回は、「守る側」がAIで先に見つけて、PHPの開発チームに知らせたということです。

AIは、泥棒にも、警備員にもなる。だからこそ、「見つかった穴は、すぐにふさぐ」が、これまで以上に大事になっています。

AIを使った攻撃については、パスキーとは？ パスワードとの違いを60代の私が南京錠で考えてみたの記事にも書きました。

なぜ一斉にパッチを当てるのか？

ここで疑問がわきます。「穴をふさぐだけなら、それぞれが都合のいいときに直せばいいのでは？」

両学長の説明は、こうでした。

修正パッチを公開すると、「どこを直したか」がわかってしまう。
ハッカーは、その直した場所を見れば、穴の場所がわかる。
だから、パッチを当てていないサイトは、その穴から攻撃されてしまう。

たとえるなら、町内に「〇〇印の玄関の鍵は、こうすると開いてしまいます。新しい鍵を配ります」という回覧板を回すようなものです。新しい鍵に替えた家は安全です。でも、回覧板を読んだ泥棒は、まだ鍵を替えていない家を探して回ります。

だから、PHPのチームは、あらかじめ「何月何日の何時にパッチを出します」と予告して、世界中の管理者に準備をしてもらいました。回覧板が回るのと同時に、みんなで一斉に鍵を替える。これが一斉にやる理由です。

実際、今回はパッチが出る前から、穴の情報が一部もれて、攻撃の動きも見られていたそうです。いくつものサイトが、予防のために一時的に閉じたのは、このためです。

WordPressのPHPバージョンを確かめる方法

では、私のようなブログを持つ人は、どうすればいいのか。

WordPressの管理画面から確かめる方法

1. 管理画面の左の「ツール」→「サイトヘルス」を開く
2. 上の「情報」タブを押す
3. 「サーバー」を開くと、「PHPのバージョン」が出ている

ここに出た番号が、さきほどの修正版（8.3.36など）より古くないかを見ます。

レンタルサーバーの管理画面から確かめる方法

ConoHa WINGやエックスサーバーなどのレンタルサーバーなら、サーバーの管理画面にも「PHP設定」や「PHPバージョン」の項目があります。レンタルサーバーの場合、PHPそのものの修正は、サーバーの会社がやってくれることが多いです。とはいえ、会社からのお知らせを見て、自分のサイトが古いPHPのままになっていないか、確かめておくと安心です。

PHPのバージョンを変えるときは、念のため、先にサイトのバックアップを取っておきましょう。古いプラグインが、新しいPHPに対応していないこともあります。

ついでに見直したWi-Fiルーター

リベ大では、PHPとあわせて、Wi-Fiの乗っ取りの話も出ていました。両学長の話では、アメリカでは昨年、30万件以上の被害があったそうです。

Wi-Fiルーターも、中ではプログラムが動いています。メーカーは、穴が見つかると「ファームウェア」という形で修正を配ります。ところが、サポート期間が終わったルーターには、もう修正が配られません。穴が空いたまま、24時間インターネットにつながっている、ということです。

乗っ取られたルーターは、知らないうちに、悪い人の通り道（踏み台）に使われます。アメリカでは、FBIがサポート切れのルーターから悪いプログラムを取り除いた、という例もありました。

そこで、私も家のWi-Fiを見直しました。

1. ルーターの機種を確かめる（本体の裏や横のシールに書いてある）
2. メーカーのサイトで、サポート期間が終わっていないか確かめる
3. Wi-Fiのパスワードを変える

あわせて、できればやっておきたいことです。

• ルーターの管理画面のパスワードも、最初のままにしない（Wi-Fiのパスワードとは別もの）
• ファームウェアの自動更新をオンにしておく
• サポートが終わった機種なら、買い替えを考える

まとめ

今日は、PHPの脆弱性と、WordPressとWi-Fiの見直しについて書きました。

• PHPの脆弱性（php2shell）は、世界中のサイトに空いた大きな穴。2026年10月21日午後11時に修正パッチが出た
• 高市首相が呼びかけ、国内外で多くのサイトが一時停止するほどの騒ぎになった
• パッチを出すと、直した場所から穴の場所がわかる。だからみんなで一斉にふさぐ
• AIは穴を見つけるのが得意。泥棒にも警備員にもなる時代
• WordPressは「ツール」→「サイトヘルス」→「情報」でPHPのバージョンが確かめられる
• 家のWi-Fiルーターも、サポート期間とパスワードを見直す

ニュースで「脆弱性」と聞いても、以前の私なら「むずかしい話だな」で終わっていたと思います。でも、自分のブログも、家のWi-Fiも、同じ世界につながっています。

人生100年、あと35年。回覧板が回ってきたら、すぐに鍵を替える。そんな身軽さで、AIの時代を楽しんでいこうと思います。

ハウル

自由を目指すアラカン

「人生100年時代」をともに生きるあなたへ。
何かヒントになればと思い2022年11月にブログをスタートしました。
旅（神社仏閣巡り）・還暦野球・ゴルフやってます。