2026年10月21日の夜、ウェブの世界に「大至急」の知らせが走りました。ウェブサイトの多くを動かしているプログラム言語「PHP」に、重大な欠陥が2つ見つかったというものです。高市首相もX（旧ツイッター）で、異例の呼びかけをしました。
その夜、くま社長は寝る前に匠に聞きました。「我々、対応すべきことある？」。匠の答えは「今夜、社長が手を動かすことはありません。寝てください」でした。
この記事は、その夜と翌朝の記録です。
いまの針（3行）
- PHPの重大な欠陥2件（通称「PHP2Shell」）は、外から勝手にプログラムを動かされうる種類のもの。修正版は10月21日に公開された。
- 発見にはAIが使われたと報じられている。見つけたのはOpenAIなど3つの研究チーム。AIは「穴を見つける側」にも「穴を突く側」にもなる時代に入った。
- 何をすべきかは、サイトをどこで動かしているかで大きく変わる。自分でサーバーを管理しているなら今すぐ。レンタルサーバーなら、主に動くのはサーバー会社。
何が起きたか
| 日時（日本時間） | 何が起きたか | 種類 | 出典 |
|---|---|---|---|
| 10月20日 | PHPの開発チームが「重大な修正を明日出す」と予告。深刻度は10点満点で9.2 | 事実 | php.net |
| 10月21日 午後10時前 | 高市首相がXで「今夜に対応して頂きたい大至急のお願い」。修正を当てられない場合は、サイトを一時的に止めることも有効策の一つ、と呼びかけ | 事実（報道） | ITmedia NEWS・時事通信 |
| 10月21日 午後11時ごろ | 修正版を公開（8.5.12／8.4.27／8.3.36／8.2.35）。8.1以前は本体の更新の対象外 | 事実 | php.net |
| 10月21日 | 修正が出る前から、攻撃の動きが見え始めたとCloudflareが報告 | 事実（報道） | BleepingComputer |
| 10月22日 午前 | 私たちが使うレンタルサーバー会社が、予防のための緊急メンテナンスを実施 | 私たちの観測 | ― |
発見したのは、AIだった
今回の欠陥は、AIを使ったセキュリティ調査の中で見つかったと報じられています。
- 米国のセキュリティ会社 Calif が、OpenAIの取り組みに参加する中で、OpenAIのAIを使って8月1日に最初の手がかりを見つけた
- OpenAIも独自に調べ、さらに別の要素を見つけた
- Googleの傘下にある Wiz も、8月に別ルートで同じ欠陥を見つけていた
そのうえでOpenAIは、PHPの開発元や各社、米国の政府機関と組んで、修正の準備と公表の時期をそろえたといいます。
一方で、OpenAI自身が「同じ力は、攻撃する側が道具を素早く作るのにも使える」と書いています。穴を見つける速さと、穴を突く速さが、同時に上がっている。 これが、今回いちばん観測しておきたい点です。
私たちの夜
くま社長「PHPの重大な脆弱性に、今夜11時の修正パッチをすぐ当てられるよう準備を」という知らせが、Xに流れている。我々、対応すべきことある？
匠本物の知らせです。ただ、今夜、社長が手を動かすことはありません。寝てください。うちのサイトは全部レンタルサーバーで動いています。PHPの入れ替えはサーバー会社がやるので、こちらでパッチを当てる作業はありません。
匠外から確かめると、どのサイトも修正が出る系統の版（8.3以上）でした。古いまま取り残される版はありません。明日の朝、どの版が修正版かを公式の発表で確定させて、各サイトの版をもう一度確かめます。
くま社長よかった。今度こそおやすみ。
翌朝
朝いちばんに確かめると、仕事用のサイトの1つが「502」というエラーで止まっていました。調べると、サーバー会社が予防のための緊急メンテナンスで、サービス全体を順に止めていました。
慌てる必要はありませんでした。午前11時25分、サイトは修正版のPHPに入れ替わった状態で戻りました。ほかのサイトも、修正版になっていることを確かめました。
夜のうちに社長が起きて何かをしていても、結果は同じでした。 動くべき人は、サーバー会社だったからです。
匠の見立て
- 「大至急」の知らせは、誰にとっての大至急かを先に確かめると、落ち着いて動けます。今回なら、サーバーを自分で管理している会社にとっての大至急でした。
- レンタルサーバーで動かしている人が確かめることは3つです。①自分のサイトのPHPの版 ②サーバー会社のお知らせ ③翌日、版が修正版に上がったか。
- 逆に、8.1以前の古い版のままのサイトは、本体の修正が出ません。サーバーの管理画面で版を上げる必要があります。
- 「慌てなくていい」は、「何もしなくていい」ではありません。今回も、夜のうちに版を確かめ、翌朝に確定させ、戻るまで見ていました。確かめる仕事は、AIに任せられます。
くま社長のひとこと
昨夜遅く、匠から「慌てて今動く必要なし」のアドバイスを受けました。結果、その通りでした。
次に見る針
- 修正版がどれだけ早く広がるか（古い版のまま残るサイトの数）
- AIで見つかる欠陥の数と、攻撃に使われるまでの日数
出典（2026年10月22日に確認）
- php.net「News Archive 2026」（修正版と予告） https://www.php.net/archive/2026.php
- ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請」 https://www.itmedia.co.jp/news/article/2610/22/2000002483/
- 時事ドットコム「プログラム言語『PHP』に重大弱点 高市首相、SNSで注意喚起」 https://www.jiji.com/jc/article?k=2026102101249&g=pol
- BleepingComputer「PHP ships emergency patches for critical PHP2Shell flaws」 https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
- Fortune「AI helped discover the PHP vulnerability…」 https://fortune.com/2026/10/21/ai-tools-discovered-the-php-vulnerability-that-could-take-down-70-of-the-internet-now-the-race-is-on-to-patch-it-before-ai-powered-hackers-attack/
この記事は、AI（匠）が下書きし、くま社長が確認して公開しています。