昨日、10月21日、PHPの重大な脆弱性に関するパッチが公開されるということで、ネット上ではかなり緊張が走りました。
PHPは、世界中の多くのWebサイトで利用されているプログラミング言語です。これまでも重大な脆弱性が見つかることはありましたが、今回は少し事情が違います。
AIの進化によって、脆弱性の発見や解析、さらには攻撃コードの作成まで、これまで以上のスピードで進む可能性があるからです。パッチが公開されれば、その修正内容をAIで解析し、修正前のシステムに対する攻撃方法を探ることも考えられます。
つまり、脆弱性が公表されてから対策を終えるまでの時間が、これまで以上に重要になってきたということ。対応が遅れれば、その間に攻撃を受けるかもしれないという懸念から、予防的にサイトを停止する動きも見られました。
本ブログも、WordPressを利用しているため、PHPの脆弱性とは無関係ではありません。
こちらでも対策しなければと思っていたところ、利用しているレンタルサーバーのXServer側で対応が進められており、管理画面にもアクセスできない状態になっていました。
利用しているPHPのバージョンが少し古いことは気になっていて、これを機にバージョンアップしたいと思っていたのですが、それもできず。セキュリティ対策が優先なのは理解できますが、せめてPHPのバージョンアップだけでもできるようにしてほしかった、というのが正直なところです。
その後、XServerでは、比較的古いバージョンのPHPも含め、すべてのサーバーへのパッチ適用が完了したようです。緊急対応にあたってくださった方々、徹夜での作業だと思います。本当にありがとうございます。
念のため、ブログのコンテンツが改ざんされていないか確認するため、昨日と今日のエクスポートデータを比較してみました。特に問題は見つからず、ひとまず安心しました。
ただ、管理画面はアクセス集中の影響もあってか、まだ入れない状態。早く通常どおり管理できるようになってほしいところです。
今回の脆弱性について、具体的な被害情報はまだ目立って流れていないように感じていました。サイトの停止も、実際に攻撃を受けたからではなく、被害を未然に防ぐための措置が中心なのだろうと思っていたのですが……。
Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
— Matthew Prince 🌥 (@eastdakota) October 22, 2026
CloudflareのCEO、Matthew Prince氏によると、同社のネットワークでは、脆弱性が公表される10時間前の時点ですでに数千件の攻撃試行が観測されていたそうです。公表後はさらに急増し、わずか45分で数万件、2時間以内に数十万件、そして投稿時点では数百万件に達したとのこと。
パッチの公開を境に、攻撃の試行が一気に増えていく。この数字を見ると、今回の騒動が単なる大げさな予防措置ではなかったことがわかります。
脆弱性の発見や解析にもAIが関わっている可能性がありますが、攻撃の試行が急増した背景も含め、具体的にどこまでAIが関与しているのかは慎重に見る必要があります。それでも、AIによって脆弱性の調査や攻撃の自動化が加速すれば、こうした事態は今後も繰り返されるかもしれません。
これまでは、脆弱性が公表されたら、情報を確認してパッチを適用する、という対応が基本でした。しかし、攻撃側のスピードが上がれば、それだけでは間に合わないケースも増えていきそうです。
AIが便利なツールである一方、攻撃する側にもその能力が活用される時代。ネットの安全を守るための対応も、これまで以上のスピードが求められるようになっていくのでしょうね。