AI-nativeエンジニアリング

政府が「プラグを抜いた」1週間：公的機関はなぜパッチではなくPHPサイトのオフラインを選んだのか

2026年10月、各国機関はPHPを直ちに更新し、できなければオフラインにするよう求め、複数の政府がそれに従った：CISA・EU・英国・オランダの発表

公開日 2026-10-25更新日 2026-10-255 分で読める

PHP公共部門脆弱性管理パッチ適用インシデント対応

この記事は教育目的であり、正式なスマートコントラクト監査、法的助言、金融助言、またはプロトコル固有のセキュリティレビューに代わるものではありません。

2026年10月21日の週、米国、EU、英国、オランダのサイバーセキュリティ機関は、PHPの2件の重大な脆弱性について同じ指示を出しました。すぐにパッチを適用し、それができなければ影響を受けるシステムをオフラインにする、というものです。複数の政府が実際にそうしました。オランダ政府は予防措置としてMijnOverheid.nlやDigiDなどのサイトをオフラインにしました。英国では、政務次官が上院で、政府サービス32件が利用できず、その主な理由は予防措置だと説明しました。

教訓は、これらの機関が失敗したということではありません。検証済みのパッチにたどり着くまで数日かかるなら、サービスを止めることが残された管理可能な選択肢です。この1週間は、公的機関のITがその状況にどれほど頻繁に置かれているかを示しました。

範囲：本記事は、各機関が2026年10月21日から23日までに自ら公表した内容だけに基づいています。英語の引用は本記事による翻訳で、オランダ語の引用は原文に日本語訳を添えています。「オフライン」とは、各機関自身の表現どおり、予防措置としての停止を指します。これらの情報源はいずれも、取り上げた機関で侵害が確認されたとは報告しておらず、オフラインになったサーバーの割合も示していません。

手が電源プラグを抜く。隣は消えた案内ディスプレイと琥珀色のランプ。公共施設の廊下。 — イメージイラスト。

日付で見る経緯

2026年10月21日：PHPが8.5.12、8.4.27、8.3.36、8.2.35を公開し、CVE-2026-109618とCVE-2026-109619を修正。CISAによれば、「php2shell」と呼ばれるこの2件は、認証なしのリモートコード実行を可能にします。
10月21日：CISAとEU共同声明（欧州委員会DG CNECT、ENISA、CERT-EU、ユーロポールEC3、EUのCSIRTネットワーク）が、直ちにパッチを適用するよう各組織に求める。
10月21日現地時間15時13分：オランダ中央政府が、更新の公開前に複数のサイトを予防的にオフラインにしたと発表。
10月22日：英国上院で、PHPの脆弱性に関する緊急質問（Private Notice Question）への答弁。
10月23日：CISAが警告を改訂し、検知ルールを追加して既存の緩和策の指針を補強。

各機関の発表

CISAの警告は、代替策について明確です。すぐに更新できない組織、またはサポートが終了したPHP 8.1以前を使い続けている組織は、パッチ適用または更新ができるまでPHPベースのシステムをオフラインにすべきだとしています。また、棚卸しは見た目より難しいと警告しています。PHPは他のソフトウェアの構成要素であることが多く、その存在を直接確認できない場合があるとしています。公開時点でCISAは、これらの脆弱性が実環境で悪用に成功した例は確認していないと述べていました。

EU共同声明は、表現は穏やかですが方向は同じです。すぐに修正できない場合は、修正を適用できるまで、公開されているアプリケーションを公衆ネットワークから隔離することを検討するよう求めています。さらに、多くの商用製品やオープンソース製品が裏側でPHPに依存しているため、PHPが見えなくても影響を受ける組織があり得ると指摘しています。

オランダでは、政府の発表がオランダのNCSC（Nationaal Cyber Security Centrum）の助言を伝えています。サイトオーナーは「zelf een risicoafweging te maken en hun websites eventueel preventief offline te halen tot die update er is」（自らリスクを評価し、必要に応じて更新が出るまでサイトを予防的にオフラインにする）べきだというものです。発表は「Dit geldt ook voor Rijksoverheidsorganisaties」（これは中央政府の組織にも当てはまる）とも付け加えています。

各国政府の対応

オランダの発表によれば、複数のサイトが「uit voorzorg offline gehaald」（予防のためオフラインにされた）とされ、「Bijvoorbeeld ook overheidswebsites als Overheid.nl, MijnOverheid.nl en DigiD」（たとえばOverheid.nl、MijnOverheid.nl、DigiDといった政府サイトも含む）と書かれています。一方で、「Op een groot deel van de websites van de Rijksoverheid, zoals Rijksoverheid.nl, wordt geen gebruik gemaakt van PHP」（Rijksoverheid.nlなど中央政府のサイトの大部分はPHPを使っていない）とも述べています。

英国では、10月22日にLloyd of Effra女男爵が政府を代表して答弁しました。各省庁は公開前に通知を受け、影響を受けうるシステムを特定し、露出の程度を評価し、緩和策と更新が利用可能になり次第実施できるよう準備するよう求められていたといいます。影響については、「政府サービス32件が利用できず、4件が一部利用できない」と述べました。その主な原因は、更新と緩和策を適用する間にシステムを守るための予防措置であり、英国NCSCの助言は「まず緩和し、その後にサービスを復旧する」ことだと説明しました。

オフラインが現実的な選択肢だった理由

脆弱性の公表当日にパッチを当てるには、三つの前提が必要です。PHPがどこで動いているかを把握していること、自組織が使うブランチに修正版があること、そして数時間のうちにテスト、承認、展開ができることです。公的機関の環境では、少なくともその一つが欠けていることがよくあります。

一つ目の欠落は棚卸しです。CISAもEU声明も、PHPは他の製品に組み込まれていると警告しています。サービスオーナーは、ベンダーから知らされるまでその依存関係に気づかないことがあります。PHPがベンダーのアプライアンスやパッケージに組み込まれている場合、運用側はそのベンダーの更新を待つしかありません。

二つ目はサポート対象のブランチです。修正版は8.2から8.5までのブランチを対象としており、CISAはPHP 8.1以前をサポート終了のバージョンとしています。これらのブランチに残っているシステムにとって、解決策はパッチではなく移行であり、移行は半日で終わるものではありません。

三つ目は変更管理です。承認、テスト、ベンダーとの契約は、計画された作業を前提に作られています。サービスをオフラインにすれば、未知の露出を組織が管理できる既知の停止に置き換えられ、復旧は実際に動いているものを誰かが確認するまで待てます。

代償は現実のものです。市民はサービスを利用できなくなります。もう一つの圧力は速度です。政務次官は上院で、NCSCは先週OpenAIからこの具体的な潜在的脆弱性について説明を受けたと述べました。さらに、「フロンティアAIは脆弱性の特定を可能にしており」、それは「私たちはより警戒し、パッチやその他の緩和策を適用する準備をより速く整える必要がある」ことを意味すると語りました。発見が加速し続けるなら、ボトルネックは、公的機関のITが警告から検証済みの修正にたどり着くまでの時間です。

本記事が主張しないこと

侵害の確認はない。政務次官は、これらの脆弱性による中央政府システムの侵害は現時点で確認されていないと述べました。オランダの発表は「nog geen signalen dat de kwetsbaarheden actief misbruikt worden」（脆弱性が積極的に悪用されている兆候はまだない）としています。
悪用カタログへの掲載はない。2026年10月25日に確認した時点で、CISAの既知の悪用された脆弱性カタログ（KEV、バージョン2026.10.23）には、CVE-2026-109618もCVE-2026-109619も掲載されていませんでした。
割合は示さない。公的機関のサーバーやサイトのうちオフラインになった割合を示す公式の情報源はなく、本記事も示しません。
取り上げた機関を評価しない。オフライン化は、CISAやEU、NCSCなどの機関が推奨した措置でした。