AI-nativeエンジニアリング

「段階的停止」：スペインの州政府は2026年のPHP警報にどう対応したか

CCN-CERTはスペインの機関に更新までの間、不可欠でない公開PHPサービスの停止を求めた：カスティーリャ＝ラ・マンチャとアンダルシアの対応

公開日 2026-10-25更新日 2026-10-255 分で読める

PHP公共部門スペインCCN-CERTパッチ適用インシデント対応

この記事は教育目的であり、正式なスマートコントラクト監査、法的助言、金融助言、またはプロトコル固有のセキュリティレビューに代わるものではありません。

2026年10月21日、スペインの公共部門を担当する国のCERTであるCCN-CERTは、すべてのPHPアプリケーションを直ちに更新し、それができるまでは不可欠でない公開サービスを停止するよう各組織に求めました。その2日後、カスティーリャ＝ラ・マンチャ州政府は、影響を受けるサービスの「apagado progresivo y temporal」（段階的かつ一時的な停止）を発表しました。アンダルシアでは、州の雇用サービスが予防措置として、saempleo.esとその他の公式ページへのアクセスを午前中停止しました。

どちらの機関も、自らのシステムが攻撃を受けたとは報告していません。両者が示しているのは、修正が公開された日と、組織が多数のサービスにそれを適用して確認できる日との間の差です。古いPHPブランチを運用している組織や、パッチ公開当日に更新できない組織にとって、段階的に停止し、段階的に復旧することは、更新できるまで不可欠でないサービスを停止するというCCN-CERT自身の勧告を、計画的に実行する方法です。

範囲：本記事は、CCN-CERT、カスティーリャ＝ラ・マンチャ州政府（Junta de Castilla-La Mancha）、アンダルシア雇用サービス（Servicio Andaluz de Empleo）が2026年10月21日から23日までに公表した内容だけに基づいています。スペイン語の引用は本記事による翻訳で、重要な語句は原文を残しています。「停止」は各機関自身の言葉による予防措置を指します。いずれの出典も、確認された侵害や、オフラインになったサーバーの割合は報告していません。

昼間のIT部門のデスク。汎用モニターを消す手。小さなスペイン国旗。 — イメージ図です。

日付で見る経緯

2026年10月21日：PHPプロジェクトが8.5.12、8.4.27、8.3.36、8.2.35を公開し、認証不要のリモートコード実行につながりうる重大な脆弱性2件を修正。PHP 8.1以前はもう更新を受けないと明記しました。
10月21日：CCN-CERTが警報AL 11/26を発表。危険度は「CRÍTICO」（重大）で、PHPベースのすべてのアプリケーションを直ちに更新するよう勧告しました。
10月22日：アンダルシア雇用サービス（SAE）が、saempleo.esとその他の公式ページへのアクセスを一時停止したとのお知らせを掲載。お知らせはその後更新され、アクセスが復旧したと記載されました。
10月23日：カスティーリャ＝ラ・マンチャ州政府が、同州のデジタル変革機関（Agencia de Transformación Digital）が影響を受けるサービスを段階的かつ一時的に停止していると発表。完全復旧の時期は決まっていないとしました。

CCN-CERTが求めたこと

警報は2つの文で始まります。「CCN-CERTはすべての組織に対し、PHPベースのすべてのアプリケーションを直ちに更新するよう勧告する。更新が完了するまで、管理者は利用が不可欠でない公開サービスを停止すべきである」（原文：「Hasta que se realice la actualización, los administradores deben apagar los servicios expuestos cuyo uso no sea indispensable.」）。

勧告の部分では、同じ状況に対するより穏やかな代替策も示しています。パッチを直ちに適用できない場合、組織は「利用が不可欠でないインターネット接続アプリケーションを、解決策が利用可能になるまで隔離すべきである」というものです。最初の手順として挙げているのは、PHPベースのすべてのアプリケーションを特定することです。

運用担当者にとって重要な点が2つあります。1つは、この指示が選択的だということです。対象は不可欠でない公開サービスなので、どれがそれに当たるかを誰かが決める必要があります。もう1つは、公表された警報では識別番号が「CVE-2026-109618 y CVE-2026-109618」と、同じ番号が2回記載されていることです。PHPプロジェクトのアドバイザリーには2件（CVE-2026-109618とCVE-2026-109619）が記載されているため、スキャナーやチケットを警報と照合するチームは、識別番号を一次情報で確認する必要があります。

カスティーリャ＝ラ・マンチャ：段階的かつ一時的な停止

10月23日の州政府の発表によると、同機関は「影響を受けるサービスをできるだけ早く復旧させるため、段階的かつ一時的な停止を進めている」としています（原文の語句：「apagado progresivo y temporal」）。発表はこの措置を、CCN-CERTの勧告に従った緊急時対応と位置づけ、影響を受けるアプリケーションの更新中にサービスが外部にさらされるのを避けるためだと説明しています。

発表は復旧の進め方も述べています。「システムの復旧は、必要な確認が行われた後、段階的に実施される」（原文：「de forma progresiva, una vez realizadas las comprobaciones necesarias」）。さらに「完全復旧の具体的な期限はまだ決まっていない」と付け加えています。

対象範囲についても明確です。「この問題は州政府に固有のものではなく、世界中の公的機関と民間組織の両方に影響しうる」。同機関は民間部門にも同じ措置を取るよう勧めています。発表は、州政府がどのシステムやどのPHPバージョンを運用しているかは明らかにしていません。

アンダルシア：午前中の雇用ポータル停止

SAEのお知らせは10月22日付で、表題は「SAEからのお知らせ：saempleo.esとその他の公式ページへのアクセスを一時停止しました」です。この措置を「世界的に検出されたPHPシステムの問題に関する通知を受けた予防措置」（原文：「medidas preventivas」）と説明しています。

このお知らせには、参考になる特徴が2つあります。1つは、停止が部分的だったことです。お知らせによると、個人と企業のマイページ、予約、Gescontrat@は直接リンクから引き続き利用でき、個人はアプリや雇用ポイント（puntos de empleo）も使えました。もう1つは、短時間だったことです。更新されたお知らせでは、アクセスが停止されたのは午前中だけで、saempleo.esを通じたオンラインサービスへのアクセスは復旧したとしています。

「段階的」という言葉がパッチ対応能力について示すこと

段階的な停止は、運用の観点では、組織がすべてを一度に更新できないと認めることです。これは特定の行政機関の落ち度ではありません。州政府は多数のポータルとアプリケーションを運用しており、それらはしばしば異なるベンダーが異なる技術スタックで構築しています。そのそれぞれについて、PHPランタイムを特定し、更新し、テストし、確認してから、オンラインに戻す必要があります。

サポート対象のブランチが2つ目の制約です。修正版はPHP 8.2から8.5までを対象としています。8.1以前のままのサービスには、正式な修正版がありません。PHPプロジェクトは、これらのブランチはもう更新されないとしたうえで、ソースからビルドするチーム向けに、7.4、8.0、8.1用の最小限のソースバックポートだけを提供しています。それ以外の場合は、バックポートした修正を提供するベンダーを利用するか、サポート対象のブランチに移行する必要があります。公開されているプラットフォーム方針を見ると、州のIT部門がこれをどう管理しているかがわかります。ガリシアの機関AMTEGAの技術プラットフォーム文書（第02.12版、2026年6月）は、PHP 8.1以前を「Obsoleto」（旧式）に分類し、8.2を現行の標準バージョン（「Security Support 12/2026」と記載）とし、8.5を2026年第2〜第3四半期のロードマップに置いています。この文書は今回の警報より前のもので、ガリシア州政府の対応には触れていません。ガリシアがサービスを停止したかどうかについての出典は見つかりませんでした。

コストを負うのは、サービスを利用できなくなる市民です。SAEの事例は、それを減らす方法を示しています。人々が必要とする手続きは別の経路で利用できるようにしておき、そのことをお知らせに書き、確認が終わり次第、公開サイトを復旧することです。

計画的な停止のための手順

PHPランタイムをすべて、ベンダー製品に組み込まれたものも含めて、ブランチとオーナーとともに一覧化しておく。CCN-CERTの最初の手順は、PHPベースのすべてのアプリケーションを特定することでした。
サービスを不可欠かどうかで事前に分類し、警報の最中に議論するのではなく、CCN-CERTの基準を数分で適用できるようにする。
稼働を続けなければならないサービスについては、CCN-CERTが示した代替策であるインターネットからの隔離を、必要になる前に計画しておく。
公開のお知らせのひな形を用意する：何を停止するか、理由、どの代替チャネルが使えるか、続報をどこに掲載するか。SAEのお知らせは簡潔な手本です。
決めた順序で停止し、サービスごとにオフラインにした時刻を記録する。
復旧前に、本番サービスが実際に動かしているPHPバージョンを確認する。カスティーリャ＝ラ・マンチャの発表が述べるように段階的に復旧し、各サービスが戻った時刻を記録する。
事後に、サービスごとに2つの時刻を比べる。その差が、実際のパッチ対応の速さです。