日本経済新聞が24日に報じたところでは、今回のPHPの脆弱性で、PHPを使うサイトの半分は、運営団体が公表した修正作業が難しい状況だそうです。デロイト トーマツ サイバーが、ウェブ技術の統計サービス「W3Techs」をもとに推計したとされています。なぜ、そんなに古いまま残っているのでしょうか。
先に要点
- サポートが終わった古いバージョンを使うサイトが多く、修正版を当てられない
- 長く更新されていない「休眠サイト」も多く含まれるとみられている
- 休眠サイトは、ほかの攻撃の踏み台にされるおそれがあり、閉鎖が急務とされる
「半数が修正困難」とはどういう意味か
今回の修正版は、PHP 8.5.12・8.4.27・8.3.36・8.2.35です。サポートが続いているバージョンなら、更新すれば済みます。ところが、PHP 8.1以前にはサポートが終わっていて、公式の修正版が出ません。サイトが使っているバージョンを集計すると、そうした古い版がかなりの割合を占める、というのが今回の推計です。
修正しようにも、そもそも直す元が存在しない。だから「半数が修正困難」という表現になっています。
なぜ古いバージョンが残るのか
報道やSNSの反応から読み取れる事情は、おおむね次のようなものです。
- 予算が付かない:動いているシステムの保守に、お金を出しにくい
- 動作確認が大変:バージョンを上げると、周辺の機能やプラグインが動かなくなる心配がある
- 担当者がいない:作った人が辞めて、触れる人がいない
- 休眠している:そもそも誰も見ていない
PHPのサポート期間は数年で、常に更新し続けていないと追いつきません。長年動いているシステムを急に新しい版へ上げると、周りへの影響が大きく、動かなくなるのは当然だ、という現場の声もあります。
休眠サイトがいちばん危ない理由
誰も見ていないサイトは、侵入されても気づかれにくい。そのまま、別のサイバー攻撃の踏み台に使われる可能性が指摘されています。つまり、持ち主は無関係でも、外から見ると「攻撃元」になってしまうおそれがあります。
- 使っていないサイトは、思い切って閉鎖する
- 残す場合は、サポート中のPHPへ移す
- ログインできないほど古い管理画面があれば、まず存在を洗い出す
うわさ話は慎重に
SNSでは、AIが見つけた脆弱性だという話や、今後数カ月で同様のものが急増するという話も流れています。ただ、いま確認できる範囲では、これらは裏付けの取れていない情報も多いので、公式の発表と分けて読むのが無難です。
管理人の感想
「古いまま使うほうが悪い」という意見も分かるのですが、担当者が一人で、予算もない現場を思うと、簡単には言えません。大事なのは、責める前に、まず自分の持っているサイトを数える作業だと思います。意外と、忘れているものが出てくるものです。
ネットで見られる声のタイプ(論調の要約。個別の書き込みの引用ではありません)
- 辛口派:「保守しない経営者の責任では」
- 現場派:「更新を提案しても予算が付かない」
- 不安派:「休眠サイトから被害が広がるのが怖い」
まとめ:次にやること
自分が管理しているサイトを、一覧にしてみてください。使っていないものは閉鎖、使うものはPHPのバージョンを確認。それだけで、リスクはかなり減ります。あなたのサイトの中に、「存在を忘れていたもの」はありませんか?
出典:日本経済新聞(2026年10月24日)、PHP公式セキュリティリリース、各社の解説記事。本記事は公開情報にもとづく解説で、個別のシステムの安全性を保証するものではありません。最新の情報は、PHP公式のお知らせやIPAなどの公的機関の案内でご確認ください。
コメント