修正版が出た直後が危ない？ PHP脆弱性で首相が「今夜」と呼びかけた理由

2026年10月21日の21時55分、首相が X に「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿しました。

話題になっていたのは、PHP というソフトウェアに見つかった重大な欠陥です。PHP は、Webサイトを動かすために広く使われているプログラミング言語で、たとえば WordPress で作ったサイトも、PHP で動いています。

投稿の中身は、おおよそ次のとおりです。

• 自分のところで PHP を使っているかを確かめてほしい
• この日の23時に、欠陥を直した修正版が公開される。それをできるだけ早く当てられるよう、準備してほしい
• すぐに当てるのが難しければ、サイトを一時的に止めることも、危険を減らす有効な手の一つになる

首相が特定のソフトウェアの欠陥について直接呼びかけたことは、報道でも異例と伝えられました。ただ、こう思った人もいるのではないでしょうか。

「直したものが出るなら、出てから落ち着いて当てればいいのでは？」

この記事では、セキュリティに詳しくない人に向けて、なぜ修正版が出た直後から時間との勝負になるのかを、錠前と泥棒のたとえで順に説明します。

まず前提：脆弱性は「錠前の欠陥」

ソフトウェアの欠陥のうち、悪用されると、情報を盗まれたり、勝手に操作されたりするものを、脆弱性（ぜいじゃくせい）と呼びます。家でいえば、錠前の欠陥です。ある押し方をすると、鍵が無くても開いてしまう。そんな欠陥が見つかると、メーカーは新しい錠前を作って配ります。これが、ソフトウェアでいう修正版（パッチ）です。

大事なのは、新しい錠前が配られても、付け替えるまでは、その家の扉は古いままだということです。修正版も同じで、公開されただけでは、自分のサイトは直りません。自分で当てて（適用して）、はじめて直ります。

「お知らせ」は泥棒も読む

錠前の欠陥が見つかると、町内の掲示板に「この錠前は、ここを押すと開いてしまいます。新しい錠前に交換してください」というお知らせが貼られます。住人のためのお知らせですが、同じ掲示板を泥棒も読めます。

修正版の公開でも、同じことが起きます。

• 修正版と一緒に、どこに欠陥があったのかを知らせる告知が出る
• PHP のように、作り（プログラムの中身）を公開しているソフトウェアでは、直した部分の中身まで見られる
• 直す前と直した後を見比べれば、「どこが、どう弱かったのか」の手がかりがつかめる

英国のサイバーセキュリティの政府機関（NCSC）は、修正が出ると、攻撃する側はその欠陥を調べて攻撃用のプログラムを作ろうとするので、更新する守る側との競争になると説明しています。

つまり、修正版の公開は、守る側への合図であると同時に、攻撃する側への合図にもなるのです。

「ゼロデイ攻撃」と「n-day 攻撃」は別物

脆弱性を狙う攻撃は、修正版が出る前か後かで、呼び方が変わります。

呼び方	いつの攻撃か	たとえると
ゼロデイ攻撃	修正版がまだ無いうちの攻撃	新しい錠前がまだ無いうちに、欠陥を突いて忍び込む
n-day 攻撃	修正版が出た後、まだ当てていないところを狙う攻撃	お知らせを読んだ泥棒が、錠前を付け替えていない家を回る

「ゼロデイ」の「ゼロ」は、守る側が直すために使える日数が0日、という意味だと説明されることが多い言葉です。米国の標準化機関（NIST）は、ゼロデイ攻撃を「それまで知られていなかった脆弱性を突く攻撃」と定義しています。欠陥が知られていても、修正版がまだ無ければ、守る側に直す手段が無い点は同じです。

一方、修正版が出た後の攻撃は、n-day 攻撃と呼ばれます。Google のセキュリティ調査部門（Mandiant）は、n-day を「修正版が出た後に初めて悪用された脆弱性」と定義しています。ワンデイ（1-day）攻撃と呼ぶこともあります。

「修正版が出ると、欠陥の中身が分かってしまうから危ない」という話は、ゼロデイではなく n-day の話です。ここはよく混同されます。

修正版が出てから悪用されるまで、どれくらい？

修正版が公開された瞬間に、付け替えるのが先か、狙われるのが先かの競争が始まります。では、攻撃する側はどれくらい早いのでしょうか。

Mandiant は、2023年に公表され、実際に悪用された脆弱性138件を調べています。そのうち、修正版が出た後に初めて悪用された41件（n-day）では、次のとおりでした。

• 修正版の公開から 1日以内 に悪用されたもの：12%
• 1週間以内：29%
• 1か月以内：56%

1か月たたないうちに、半分以上が悪用されています。「来月の定期メンテナンスのときに当てよう」では、間に合わないことがある、ということです。

2026年10月の PHP では、何が起きたのか

今回の PHP の脆弱性は、この競争がよく見える例でした。脆弱性は2件で、それぞれに CVE-2026-109618、CVE-2026-109619 という番号が付いています。この番号は、脆弱性ごとに付けられる世界共通の通し番号で、CVE 番号と呼ばれます。

PHP の公式発表、PHP の開発を支える団体（PHP Foundation）の説明、首相と各機関の発表をもとに、出来事を日本時間で並べます。

日本時間	出来事
10月21日 0時ごろ	2件の CVE 番号が、誤った公開時刻や誤った深刻度とともにネット上に出回る。欠陥の技術的な中身は漏れていない
10月21日 4時30分	PHP が、修正版の公開予定を前もって知らせる。当初は22日だった公開を、1日早めて21日の23時にする
10月21日 5時ごろ	欠陥の発見に関わった企業が、悪用できることを示す動画を誤って公開する。そこから少しだけ手がかりが広まり、悪用できることを確かめるプログラム（実証コード）作りが早まった
10月21日 16時41分	修正を含んだ、すぐに使える形に組み立てたソフトウェアが、取り決めより6時間以上早く、ある配布元（PHP を組み込んで配っている組織）から公開される
10月21日 21時44分	国家サイバー統括室が X で、修正版をすぐ当てるのが難しければ、サイトの一時停止も有効な手の一つと投稿
10月21日 21時55分	首相が X で、23時に公開される修正版をできるだけ早く当てられるよう、準備を呼びかける
10月21日 23時ごろ	修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）を公開
10月22日	日本の JPCERT/CC（セキュリティ事故の情報を集めて知らせる組織）が注意を呼びかける。悪用できると主張する実証コードがたくさん公開され、悪用を試みる通信を見たという報告が相次いでいると伝える
10月26日	米国の CISA（サイバーセキュリティの政府機関）が、2件を「実際に悪用されたと確認した脆弱性の一覧（KEV）」に加える
10月29日	JPCERT/CC が、ある製品で、攻撃が成功したことをうかがわせる跡が見つかったと書き加える

この流れから、3つのことが読み取れます。

1つ目は、公開を早めたことです。 番号が先に出回ったため、PHP は公開を1日早めました。それでも「今すぐ」公開しなかったのは、PHP を組み込んで配っている各組織が、修正版を配る準備を終えていなかったからだと説明しています。すぐに出すと、多くの人が当てる手段の無いまま、お知らせだけが貼り出されることになります。いつ公開するかも、守る側の準備との兼ね合いで決まっているのです。

2つ目は、手がかりが予定より早く外に出たことです。 誤って公開された動画から少しだけ手がかりが広まり、PHP Foundation は、これが実証コード作りを早めたとしています。さらに、修正を含んだすぐに使える形のソフトウェアが、取り決めより早く公開されました。そのため、正式な公開を待たずに、そこから修正の中身を調べられる状態になっていました。

3つ目は、公開前の攻撃の扱いです。 ネットの通信を守るサービスを提供している Cloudflare は、正式な公開日より前に情報が漏れ、利用者を狙う攻撃の通信を見たと報告しています。一方で PHP Foundation は、情報が漏れた後に出回った実証コードを調べたうえで、公開の時点では、実際に使える攻撃用のプログラムは見つかっていないとしています。修正版が出る前に攻撃が成功していたかどうかは、公開されている情報からは言い切れません。

そして修正版の公開から5日後、CISA が、実際に悪用されたと確認した脆弱性の一覧に2件を加えました。いつから悪用が始まったのかまでは、この一覧からは分かりません。ただ、流れとしては、ゼロデイになりかけた状態から、修正版の公開後の時間勝負へ移った例だといえます。

首相の呼びかけは、何を求めていたのか

ここまでの仕組みが分かると、首相の投稿が「当ててください」ではなく、「可及的速やかに適用できるよう準備をお願いします」だった理由が見えてきます。「可及的速やかに」は、「できるだけ早く」という意味です。

投稿の時点では、修正版はまだ公開されていなかったので、当てようがありませんでした。公開は23時です。公開されてから担当者を探し、どのサイトが PHP を使っているかを調べ始めていては、競争に出遅れます。

求められていたのは、たとえば次のような準備です。

• 自社のどのサイトやシステムが PHP を使っているかを知っておく
• 夜中でも当てられる担当者（外部の保守会社を含む）と連絡をつけておく
• すぐに当てられない場合に、サイトを一時的に止めるかどうかを決めておく

3つ目の「止める」は、売上や問い合わせに関わるので、担当者だけでは決めにくい判断です。首相と国家サイバー統括室が、サイトを一時的に止めることも「リスクを低減させるための有効策の一つ」と示したのは、こうした判断を後押しする意味もあったと考えられます。

次の「予告」に備えて、ふだんから決めておくこと

今回のように重大な脆弱性では、修正版を公開する時刻が前もって知らされることがあります。予告から公開までの時間は、攻撃する側より先に動ける貴重な準備の時間です。その時間を生かせるように、ふだんから次のことを決めておきます。

• 一覧：自社のサイトやシステムと、それぞれが使っているソフトウェアとその版
• 担当：だれが当てるのか。外部に任せている場合は、夜間や休日にも対応してもらえる契約か
• 止める基準：すぐに当てられないとき、どんな状態ならサイトを止めるか。それをだれが決めるか
• 情報の入口：IPA（情報処理推進機構）や JPCERT/CC、使っているソフトウェアやサーバー会社のお知らせを、だれが見ているか

自分では判断がつかない場合は、サイトを作った会社や、契約しているサーバー会社に、「うちのサイトは PHP を使っていますか」「重大な更新が出たら、いつ当ててもらえますか」と聞いてみるところから始めてください。

PHP を使っているサイトの具体的な確認手順と、レンタルサーバー各社の対応は、PHPの重大脆弱性、WordPressは大丈夫？全バージョンの考え方とレンタルサーバー別の対策にまとめています。あわせて Node.js も使っている場合は、PHPの重大脆弱性への対応とあわせて、Node.jsも確認を——見落としたくない3つのポイントもご覧ください。

まとめ

• 修正版の公開は、守る側だけでなく、攻撃する側にも「どこが弱かったか」を知らせる
• 修正版が出た後に、まだ当てていないところを狙うのが n-day 攻撃。修正版が無いうちに狙うゼロデイ攻撃とは別物
• 公開の直後から、当てるのが先か、狙われるのが先かの競争が始まる。2023年の分析では、n-day の半分以上が、修正版の公開から1か月以内に悪用されていた
• 公開時刻が予告されたら、それは準備の時間。ふだんから、一覧・担当・止める基準・情報の入口を決めておく

「修正版が出たら、落ち着いて当てればいい」ではなく、「修正版が出たら、すぐ当てられるようにしておく」。今回の首相の呼びかけは、その考え方を、ふだん IT に関わらない人にも届く形で示したものでした。