ナイジェリア コンピュータ緊急対応チーム（ngCERT）は、同国の公式政府サイバーセキュリティ機関として、Log4Shell——2021年に広く使われるJavaロギングライブラリLog4jに見つかり、インターネット全体に緊急パッチ適用を強いた脆弱性——以来最大のウェブサーバー危機に、X上の簡潔な「今すぐパッチ適用せよ（Patch Now!）」という投稿で応えた。2026年10月21日、ワシントンから東京までの緊急対応チームが脆弱な公的システムをオフラインにする中、同機関の注意喚起は、世界のウェブサイトの約70%に影響するとされる脆弱性の規模とは対照的だった。

投稿は https://x.com/ngCERTofficial/status/2112987792917840001?s=20 で公開され、次のように述べている。「PHP2SHELL ALERT！2つの重大なRCE脆弱性（CVE-2026-109618およびCVE-2026-109619、CVSS 9.2）が、PHP 5.4以降を実行するすべてのウェブサーバーに影響します。両脆弱性はデフォルトのPHP設定で悪用可能で、認証なしで発動できます。今すぐパッチ適用せよ！」

パッチ適用の呼びかけを超える情報として、注意喫起には技術情報がなく、修復手順もなく、省庁・部署・機関（MDA）を対象としたコンプライアンス執行もなかった——批判者はこれを、サイバーセキュリティ・ガバナンスではなく、パフォーマンス的なフォーム記入と評している。

騒動の中心にある脆弱性は、PHPコアランタイムにおける2つの重大なリモートコード実行脆弱性で、CVE-2026-109618およびCVE-2026-109619として追跡され、広く「PHP2Shell」と呼ばれている。両者ともCVSS v4.0で9.2深刻度評価を持ち、2012年にリリースされた5.4から8.5.11までのすべてのPHPバージョンに影響する。欠陥がPHPのメモリクリーンアップおよびエラー処理ルーチンの内部にあるため、認証されていない攻撃者は、ウェブサイトのアプリケーションコードやセキュリティプラグインが読み込まれる前に、デフォルト設定で動作するインターネット公開サーバーを乗っ取ることができる。共有ランタイム内のこの位置づけこそが、PHP2Shellを日常的なプラグインやテーマの脆弱性と区別する点である。脆弱なサーバーがホストするすべてのサイトは、そのアプリケーションコードがどれほど慎重に書かれていても、この露出を引き継ぐ。

PHP2Shellは突発的に起きたものではない。サードパーティ製ソフトウェアやレガシーインフラがどれほど速く所有者に牙を向けるかを証明した、断裂のない10月の世界的サイバー侵害の集大成となった。今月上旬、WizとCalifの研究者らは、最先端AIモデルが数か月に及ぶ手作業のリバースエンジニアリングを短縮し、10年前のPHPメモリバグを標準的なWordPress、Drupal、Joomla環境に対して武器化できることを実証した。10月20日に開示禁止期間が予定より早く漏れると、脅威アクターは直ちに世界中の数百万のサーバーのスキャンを開始し、PHP Foundationは10月21日に緊急パッチを急遽公開し、日本の首相は組織に対し更新またはサイトのオフライン化を公に呼びかけた。後に、攻撃は漏えいの数日前にあたる10月17日にはすでに始まっていたことが明らかになった。

この慌ただしい対応は、2026年10月の他の3つの世界的衝撃と同時に発生した。日本では、クラウドプロバイダーIDCフロンティアへのランサムウェア攻撃により495の企業・自治体が機能不全に陥り、鉄道大手JR東日本だけで609万件の顧客記録が流出した。また、Huntressの脅威ハンターは、ConnectWiseのSkyKick Cloud BackupのID情報をめぐるサプライチェーン侵害を発見し、攻撃者が従業員の多要素認証を回避して162のMicrosoft 365企業環境に侵入できる状態になっていた。フランスでは10月11日と12日、攻撃者が数百のスーパーマーケットの冷蔵システムを制御するOT（運用技術）を乗っ取り、温度が50℃に急上昇し、小売業者は腐敗した食品をトン単位で廃棄せざるを得なくなった。

PHP2Shell開示の速さもまた、世界の運輸・公共部門で広範な緊急停止を余儀なくさせ、東京からヘルシンキに至る航空、銀行、鉄道ネットワークにわたる重要な停止を引き起こした。英国では、機の進展に伴い国家サイバーセキュリティセンター（NCSC）が緊急警告を発し、当局は予防的措置を講じ、緊急パッチと緩和策の適用の間、32の政府サービスを一時的にオフラインとし、4つを部分的に制限した。

南アフリカでは、Ampath LaboratoriesがBytetoBreachランサムウェアグループの攻撃を受け、同グループは8,000万件の患者記録を流出させたと主張している。

この世界的な背景の中で、ナイジェリアの姿勢と近隣諸国の対比は歴然としている。国家情報技術開発庁（NITDA）によれば、ナイジェリアはすでにサイバー犯罪により年間少なくとも5億ドルを失っており、企業登記庁（Corporate Affairs Commission）や国民独立選挙委員会（INEC）を含む政府ポータルでは、公的数据流出の疑惑が繰り返し浮上している。それでもngCERTは、認証なしでサーバーを乗っ取り得る現実の脅威を、日常的な広報発表として扱った。ソーシャルメディアの投稿には法的な重みが一切ない。連邦または州のIT責任者に対する期限を設定せず、レガシーサーバー向けの補完的な設定ルールを示さず、数千のナイジェリアの中小企業を支える地元ウェブホスティング企業への説明責任を求めない。

ケニアは異なる動きを見せた。10月21日、同国のICT・デジタル経済省はICT庁と連携し、すべての政府機関に向けた正式かつ義務的な指示を発出した。ナイロビは機関にパッチ適用を求めたにとどまらず、MDAに対しサードパーティのクラウド・ホスト型アプリケーションの監査、外部アクセスの制限または修復不能なポータルの即時遮断、ICT庁の検査に備えたすべての修復措置の文書化を命じた。

ガーナは厳格な遵守期限でその真剣さに見合った。10月22日、サイバーセキュリティ庁（CSA）と国家情報技術庁（NITA）は、すべての公的機関に対し、PHP導入状況の棚卸し、緊急更新の適用、7日以内の正式な修復報告書の提出を共同で指示した。一方、南アフリカも、数千の露出したローカルサーバーがあるにもかかわらず、目立つ全国的なCERT指示を発出できずにつまずいた。ケニアとガーナは、効果的なサイバー防御にはソーシャルメディアのスローガンではなく、執行可能な期限とベンダー監督が必要であることを実証した。次の確認点は明確である。ngCERTが単独のX投稿に続いて執行可能な期限を伴う技術情報を出すかどうか、そしてガーナの7日間の修復報告書が公的機関内のPHP露出について何を示すかである。

規制執行が遅れると、現地のエンジニアリングチームと一般ユーザーが生き残りの負担を背負うことになる。PHP Group、Qualys、Armis、Google Cloudの技術ガイダンスに基づき、ナイジェリアの企業と市民直ちに取るべき対応は次のとおりである。

企業とシステム管理者向け

• サポート対象ランタイムを直ちにパッチ適用： PHP 8.2以降の環境をすべてパッチ済みリリース（8.5.12、8.4.27、8.3.36、または8.2.35）にアップグレードし、PHP-FPMまたはApacheサービスを再起動して、新しいバイナリをメモリに反映させる。
• サポート終了の死角を解消： 公式パッチはサポート終了済みのPHP 8.1、8.0、7.xを対象としない。レガシーなcPanelホスティングに縛られた企業は、直ちにPHP 8.2以上へ移行するか、強化されたLinuxディストリビューションのバックポートやコンテナイメージに切り替えなければならない。WordPressのテーマやプラグインの更新だけではこの悪用を防げない。
• 設定レベルの緩和策を適用： 即時のパッチ適用が不可能な場合、QualysとArmisは、サイトの機能を壊さずに主要な悪用経路を排除できるPHP内蔵のアップロード進行トラッカーの無効化、およびCloudflareやGoogle Cloud ArmourなどのWebアプリケーションファイアウォール（WAF）における厳格なリクエストボディサイズ制限とファイルアップロードルールの適用を推奨している。
• サーバーログとAPIキーを監査： 攻撃は早くも10月17日には始まっていたため、チームはウェブサーバーログに異常なメモリ不足クラッシュがないか確認し、インターネット公開のPHPサーバーに保存されたデータベース認証情報とゲートウェイキー（Paystack、Flutterwave、MonnifyのWebhookなど）をローテーションしなければならない。

一般市民と日常ユーザー向け

パッチ未適用のPHPで動く電子商取引や政府ポータルが侵害されると、攻撃者は入力される平文のパスワードを収集できる。地元のショッピングサイト、学校ポータル、政府登録サイトで、メールや銀行アプリのパスワードを再利用してはならない。

ウェブサーバーの乗っ取りにより攻撃者がチェックアウトページを密かに改ざんできるため、小規模な加盟店サイトに主要なデビットカード情報を保存しないこと。1日の支出上限を厳しく設定した使い捨て型のバーチャルカードや、チェックアウト時送金オプションを利用すること。

攻撃者が正規の企業や政府のウェブサーバーを乗っ取ると、本物のドメイン名からフィッシングメールを送れるようになる。緊急の支払い請求、税務通知、BVN/NIN更新の促しがあれば、リンクをクリックする前に独立したチャネルで確認すること。

関連記事：ナイジェリアのMetaとの秘密和解が示す、明白な二重基準に満ちたデータ保護体制

AI時代のサイバーセキュリティに受動的な官僚主義の居場所はない。アブジャがパフォーマンス的なフォーム記入に代わって、公私インフラ全体に監査可能なコンプライアンス義務を課さない限り、ナイジェリアの企業と市民は自らが最初の対応者とならざるを得ない。