さくらインターネットは水曜日、広く使われるサーバーサイドスクリプト言語PHPに2件の重大な脆弱性が公表されたことを受け、クラウドサービスの一部を停止した。同じ日の遅く、高市早苗首相はウェブサイト運営者に対し、その夜に提供されるパッチを適用するか、一時的にサイトをオフラインにするよう公に呼びかけた。

さくら、復旧時期を示さずデータベースWebツールを停止

さくらインターネットは10月21日、日本時間午後1時22分に公開したお知らせの中で、Database ApplianceサービスからWebインターフェースツールを撤去すると発表した。対象となるのは、管理者がMariaDBおよびPostgreSQLデータベースの日々の管理に通常使用するブラウザベースのコンソールであるphpMyAdmin、phpPgAdmin、pgAdminだ。

同社のDatabase Clusterサービスは引き続き稼働している。さくらは停止した機能の復旧時期を明示せず、当面はMariaDBおよびPostgreSQLに対応するSQLクライアントの利用を顧客に推奨した。同社は顧客に中断のお詫びを伝えた。

Cygamesとpixivも、このPHP脆弱性への対応として緊急メンテナンスを発表した。PHPは電子商取引をはじめとする多くのWebアプリケーションの基盤となっており、この共通の依存関係こそが、1件の上流での脆弱性公表を、業種の異なる企業での同夜の緊急メンテナンスへと発展させた。

首相、運営者に午後11時の修正を指示

高市首相の呼びかけは日本時間午後9時55分にXに投稿された。首相はこの投稿を「その晩の対応を求める非常に切迫した要請」と位置づけ、運営者に対し公開中のウェブサイトがPHPを使用しているかどうかを確認するよう求めた。その上で、日本時間午後11時に提供予定のパッチを適用できるよう準備するよう指示し、迅速なパッチ適用が困難な場合はウェブサイトを一時的にオフラインにすることもリスク軽減の方法の一つだと記した。

また、首相はフォロワーをX上の国民サイバーセキュリティ室のアカウントへ誘導した。午後10時57分、同室は更新プログラムがリリースされたことを発表し、未適用のサイトは侵害される恐れがあると警告した上で、ユーザーにやかな適用を呼びかけた。木曜日までに、高市首相の投稿は30万8000件を超えるいいねと約7万8000件のリポストを獲得した。

深刻度9.2の脆弱性2件は「PHP2Shell」と命名

修正済みバージョンはPHP 8.2.35、PHP 8.3.36、PHP 8.4.27、PHP 8.5.12。Cryptopolitanによると、脆弱性の詳細が漏洩したことを受け、PHPのメンテナーは修正を予定より1日早く公開した。「PHP2Shell」と名付けられ、CVE-2026-109618およびCVE-2026-109619として追跡されているこの2件の脆弱性は、いずれも10段階中9.2の深刻度スコアを付けられており、未適用のサーバーで攻撃者がコードを実行できる可能性がある。

1件目のバグは、PHPのメモリ不足状態への対処方法を悪用するもの。2件目は、メモリ解放後も存続するリクエスト状態を悪用する。

PHPプロジェクトのアドバイザリによれば、Webリクエストを処理するすべての環境がリスクにさらされており、PHP-FPM、mod_phpを組み合わせたApache、php-cgi、FrankenPHP、LiteSpeedが含まれる。プロジェクトはmod_phpを最もリスクの高い構成としており、アプリケーションコードが実行される前に発火する実証済みのエクスプロイトが存在する。Linuxディストリビューターや長期サポートベンダーは事前にパッチを準備していた。

PHPプロジェクトはPHP 8.1以下の更新をすでに終了しているが、セキュリティチームはPHP 7.4、8.0、8.1向けの最小限のソースバックポートを公開した。

サーバーサイド言語が判明している全ウェブサイトの約70%がPHPで動作している。日本のほか、EU、米国、ドイツ、オーストラリア、英国も警告を発した。フィンランド、オランダ、フランスは予防措置として政府ウェブサイトをオフラインとし、任天堂はパッチ適用のためサービスを停止した。さくらがDatabase ApplianceのWebツールの復旧時期を示さず、修正版の提供が始まってまだ数時間しか経っていない中、注視すべき短期的な兆候は、さくらによる復旧の発表と、運営者が適用を完了する中での国民サイバーセキュリティ室による追加のガイダンスである。