10月22日の朝、X（旧Twitter）で、こんな呼びかけを見ました。
皆様に、今夜に対応して頂きたい大至急のお願いです。
高市早苗さんのアカウントの、前の日（10月21日）の投稿でした。「多くのウェブサイトで使われているPHPに、重大な穴が2つ見つかった。修正は21日の夜11時に出るので、すぐ当てられるように準備してほしい」という内容です。僕が読んだ22日の朝には、修正はもう出ていました。
僕は、温泉ブログ（温泉ランド.com）と、このブログ（pilnmeness.com）の2つのサイトを持っています。どちらもPHPで動いています。それで、AI（Claude）に「僕のサイトで、やったほうがいいことはある？」と聞きました。
PHPの件が片づいたあと、同じ朝、別の話も流れてきました。こちらはサイトではなく、僕のパソコンの話でした。
この記事では、2つの件を、小学生にも分かるように説明します。そのあとで、僕のサイトとパソコンで何が問題で、何をしたかを書きます。
まず、2つの件をひとことで
| PHPの件 | 証明書の件 | |
|---|---|---|
| どこの話？ | ウェブサイトを動かすサーバー | 自分のパソコンやスマホ |
| たとえると | お店の裏口の鍵が、こわれていた | 「本物です」のシールが、だれでも作れるようになっていた |
| 何がこわい？ | 知らない人が、勝手にサーバーで命令を動かせる | 偽物のサイトが、本物のふりをできる |
| だれが直す？ | サーバーの会社（と、サイトの持ち主） | パソコンやアプリを、自分で新しくする |
| 僕の場合 | サーバーの会社が直していた。1つは自分でも版を上げた | いくつかの道具が古いままで、直した |
1つ目：PHPの件
PHPってなに？
ウェブサイトのページは、だれかが見に来るたびに、サーバーという大きなコンピューターで作られています。そのページを作る「料理人」のような役目のプログラムが、PHPです。
WordPress（ブログを作る道具）もPHPで動いています。世界中の、とても多くのサイトが使っています。
どんな穴だったの？
今回見つかったのは、PHPそのものにある穴でした。2つあります。どちらも、ログインしなくても、外から、サーバーの上で勝手にプログラムを動かせてしまうおそれがあるものです。
お店でたとえると、裏口の鍵がこわれていて、知らない人が入ってきて、厨房で好きなことができてしまう状態です。ニュースでは「PHP2Shell」という呼び名でも伝えられました。
PHPを作っている人たちは、10月21日（日本時間の午後11時ごろ）に、穴をふさいだ新しい版を出しました。
| PHPの系列（版の仲間） | 穴をふさいだ版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
この表より古い版を使っていると、危ないということです。8.1 より前の系列には、直した版が出ていません。系列ごと新しくする必要があります。
だれが直すの？
ここがポイントです。僕のようにレンタルサーバー（サーバーを借りるサービス）を使っている場合、PHPの本体を新しくするのは、サーバーの会社の仕事です。
ただし、サーバーの会社によっては、サイトごとに「どの系列のPHPを使うか」を持ち主が選べます。8.1 より前の古い系列を選んだままだと、直った版になりません。なので、持ち主も「自分のサイトの版が、上の表の版以上になっているか」を確かめる必要があります。
修正が出るまでの「すき間」
穴が知られてから、直った版が当たるまでには、どうしても時間のすき間ができます。AIが調べたところでは、今回は、攻撃が始まったという報告が、修正が出る前の10月21日の夕方から出ていました。
すき間のあいだに入られていたら、穴をふさいだあとも、入った人の「足あと」が残っているかもしれません。なので、版を確かめるだけでなく、知らない管理者が増えていないか、覚えのないプラグイン（追加の部品）が入っていないかも見ることにしました。
2つ目：証明書の件
証明書ってなに？
ネットで銀行やお店のサイトを開くと、アドレスの横に鍵のマークが出ます。これは、そのサイトが「本物です」というシール（証明書）を見せているからです。
シールは、だれでも作れるわけではありません。認証局という、信用された発行元だけが、本物のハンコを押して作れます。ブラウザは「信用してよい発行元の一覧」を持っていて、その一覧にある発行元のハンコなら、本物だと判断します。
何が起きたの？
インドの認証局 eMudhra の、「中間」の発行元8つで（大もとの発行元から、シールを作る仕事を任された下の発行元のことです）、秘密の鍵の作り方に不備がありました。そのせいで、証明書から秘密の鍵を取り出せる状態になっていました。
秘密の鍵は、本物のハンコそのものです。それを取り出せるということは、だれでも本物のハンコを押せるということです。グーグルや銀行など、自分のものではないサイトの「本物です」シールまで作れてしまいます。
10月17日に報告されると、ブラウザや OS（パソコンやスマホの土台になるソフト）を作っている会社が、すぐに動きました。「このハンコはもう信用しない」という一覧（失効の一覧）を配ったのです。
| だれ | いつから遮断したか |
|---|---|
| Firefox・Chrome | 10月17日 |
| Apple（iPhone・Mac） | 10月19日 |
| Microsoft（Windows） | 10月20日 |
じゃあ、もう安全？
ブラウザや Windows を新しくしていれば、多くの場合は安全です。ところが、落とし穴がありました。
パソコンの中には、ブラウザ以外にも、ネットにつなぐ道具がたくさんあります。その中には、自分専用の古い「信用一覧」を持っていて、Windows が配った「もう信用しない一覧」を見ない道具があります。そういう道具は、偽のシールを本物だと信じてしまいます。
偽のシールを使うには、もう1つ条件がいる
偽のシールを持っているだけでは、まだ悪さはできません。悪い人は、通信の途中に割りこんで、本物のサイトへ行くはずの通信を、偽のサイトへすり替える必要があります。
家の回線では、まず起きません。ただ、カフェなどの公衆 Wi-Fi では起きる可能性があります。すり替えられると、パスワードや、サービスを使うための鍵を盗まれるおそれがあります。
自分で確かめる方法
この件では、確かめ用のサイトが用意されていました（Mozilla の担当者が作ったものです）。
- ブラウザで https://dv-g3b-emudhra.we-have-a-problem.com/ を開く
- 証明書のエラー画面が出れば安全です。偽のシールを弾いている、という意味です
- ふつうにページが表示されたら、そのブラウザは古いままです。ブラウザと OS を新しくしてください
僕の環境は、こうなっている
僕の持ち物を1枚にすると、こうなります。PHPの件はサーバーの上の2つのサイト、証明書の件はパソコンの中の道具の話です。
僕のサイトで起きたこと・やったこと
PHPの版
AIの案内で、WordPress の管理画面から版を見ました。場所は「ツール → サイトヘルス → 情報 → サーバー」です。
| サイト | 前 | 見たとき | そのあと |
|---|---|---|---|
| 温泉ランド.com | 8.5.10（10月4日の記録・穴あり） | 8.5.12（直った版） | そのまま |
| pilnmeness.com | 不明 | 8.2.35（直った版） | 僕が 8.5.12 に上げた |
どちらのサイトも、サーバーの会社（XREA）が、10月22日の0時〜0時50分に「セキュリティとソフトウェアの更新」をしていました。お知らせにPHPとは書いていませんでしたが、管理画面で版を見ると、どちらも直った版になっていました。
pilnmeness.com は、8.2 の系列でした。8.2.35 で今回の穴はふさがっています。ただ、AIから「8.2 は2026年12月末で修正が出なくなる」と聞きました。来年からは、新しい穴が見つかっても、8.2 には直した版が出ません。それで、その場で 8.5.12 に上げました。
上げたあと、AIが外からページを開いて確かめました。トップページ、記事、ログイン画面、ゲーム3本、どれもふつうに表示されました。検索だけ、1回目に一度エラーが出ましたが、やり直すと毎回ふつうに動きました。
すき間に入られていないか
| 確かめたこと | 温泉ランド.com | pilnmeness.com |
|---|---|---|
| 知らない管理者はいないか | いない（僕と、下書き用のアカウントだけ） | いない（僕だけ） |
| 覚えのないプラグインはないか | ない | ない（AIの知らない名前があったが、前にAIに作らせた自作の道具だった） |
| 使っていないプラグイン | 止めたまま5つ残っていた → 消した | — |
pilnmeness.com で AI が「知らない」と言ったのは、Xの投稿を分析しやすい形に変えるための道具でした。前に AI に作らせて、自分で入れたものです。管理画面では、作者が「OpenAI」と表示されていました。これは、プラグインの中に書いてある文字が、そのまま表示されるしくみだからです。だれかが本人だと確かめたわけではありません。名前だけで安心も心配もせず、中身と、自分に覚えがあるかで判断します。
止めてあるプラグインも、ファイルはサーバーに残ります。使わないものは消したほうが、入り口が減ります。AIにそう言われて、温泉ランドの5つを消しました。消したあとも、サイトはふつうに表示されました。
僕が自分で作ったPHPのプログラム（ゲームやクリックの計測など）は、直す必要がありませんでした。今回の穴は PHP 本体のもので、僕のプログラムが動く前に入られてしまう種類だからです。PHP本体が直れば、一緒に守られます。
僕のパソコンで起きたこと・やったこと
AI（Claude と Codex）に、パソコンの道具ごとに、確かめ用のサイトへつないでもらいました。つながったら危険、エラーになったら安全です。
| 道具 | 何に使っているか | はじめ | やったこと | あと |
|---|---|---|---|---|
| Windows・curl・PowerShell | ふだんの通信 | 安全 | なし（Windows が新しい一覧を配っていた） | 安全 |
| Chrome・Edge | ネットを見る | 安全 | なし（僕が開いて、エラー画面を確かめた） | 安全 |
| git | プログラムの保存 | 危険 | Windows と同じ確かめ方を使う設定に変えた | 安全 |
| Node | AIの道具など | 危険 | 直った版（v24.22.1）に入れ替えた | 安全 |
| Python | ブログの下書き登録など | 危険 | 部品を新しくし、Windows と同じ確かめ方を使う部品（truststore）を入れた | 安全 |
| Codex の中の Python | 別のAI（Codex）の作業 | 危険 | Codex に頼んで、同じ部品を入れてもらった | 安全 |
| Codex の中の Node | 別のAI（Codex）の作業 | 危険 | アプリを更新しても直らなかった。Codex に頼んで、新しい一覧を使う設定を足してもらった（仮の対策） | 安全 |
| Codex のブラウザ操作用の Node | 別のAI（Codex）のブラウザ操作 | 安全 | なし（はじめから弾いていた） | 安全 |
| Claude Code | このAIの道具 | まだ試していない（古い版） | これから更新する | — |
いちばん大事だったのは Python です。このブログの下書きを登録する道具も、Python で通信しています。もし公衆 Wi-Fi ですり替えられていたら、ブログに入るための鍵を盗まれる道すじになりえました。
Python は、部品（certifi）を新しくすると、その部品を使う通信は直りました。でも、Python に最初から入っている通信の部品（urllib）は直りませんでした。この部品は、Windows が配った「もう信用しない一覧」を見ないからです。そこで、truststore という部品を入れて、Windows と同じ確かめ方を使うようにしました。入れたあと、確かめ用のサイトは弾き、ふだんのブログの通信はこれまでどおり動くことを確かめました。
AIどうしで、答えが食い違った
途中で、こんなことがありました。
Codex（別の会社のAI）に、Codex の中の道具を調べてもらいました。その報告を、Claude が確かめ直しました。すると Claude は、ブラウザ操作用の Node はまだ危ない、Codex が足した設定で起動しなくなるおそれがある、と指摘しました。
ところが、Codex がもう一度調べて、原因の見当を示しました。Claude が確かめると、そのとおりでした。Claude が試験に使っていた作業場所には、Node の確かめ方を変える設定が、もともと入っていたのです。その設定を外して試し直すと、Codex の報告のほうが正しいと分かりました。Claude はこう書きました。
Codex の報告のほうが正しく、前回の私の指摘は2つとも間違いでした。すみません。
2つのAIに同じことを確かめさせると、どちらかの思いこみが見つかることがあります。今回は、Codex の報告漏れ（ブラウザ操作用の Node）を Claude が見つけ、Claude の試験の間違いを Codex が見つけました。
まとめ：自分でできること
- ブラウザと OS を、いつも新しくしておく。ブラウザで見るサイトについては、今回の証明書の件はこれで防げました
- 確かめ用のサイトがあるときは、ブラウザで開いてみる。エラー画面が出れば安全です
- サイトを持っている人は、PHPの版を見る。サーバーの会社が直していても、8.1 より古い系列を選んだままだと、直った版が出ていません
- 穴が知られてから直るまでの「すき間」があったら、知らない管理者やプラグインが増えていないかを見る
- 使っていないプラグインは消す
- パソコンで、ブラウザ以外の道具（プログラムを作る道具など）を使っている人は、道具ごとに確かめる。ブラウザが安全でも、道具は古いままのことがあります
分かったこと
「大至急」と言われて、最初はあわてました。でも、ひとつずつ見ていくと、サイトのほうはサーバーの会社がもう直していました。僕がしたのは、版を確かめて、入られた跡がないかを見て、古い系列を上げたことでした。
むしろ、自分では気づいていなかったのは、パソコンの中の道具のほうでした。ブラウザで確かめて「安全」と出ても、裏で動く道具は古い一覧のままでした。見えている所が安全でも、見えていない所は別に確かめる。今回いちばん学んだのは、そのことでした。
おすすめ商品
