世界の多くのウェブサイトやサービスで利用されているPHPに重大な脆弱性「PHP2Shell」が見つかり緊急アップデートが行われた一件で、公表前は数千件程度だった悪用試行が公表後は爆増し、公表から12時間ほどで数百万件という単位に増加していたことをCloudflareが報告しています。
PHP2Shell、公表4日前に悪用の試み 「公表日より前にさかのぼって調査を」とAmazon
Amazonの脅威調査チームは、PHPの緊急脆弱性「PHP2Shell」を悪用する試みを公表4日前にハニーポットで検知したと発表した。公開後は悪用が急拡大。AIによる攻撃コード作成の加速を指摘し、対応期限の時間単位での管理や公表前への調査遡及など前提の見直しを呼び掛けた。
PHPの重大脆弱性「PHP2Shell」はセキュリティ企業のCalifとWizがAIを用いて発見しOpenAIの枠組みを使って対策したことが判明
プログラミング言語のPHPに「PHP2Shell」と呼ばれる重大な脆弱性が見つかり、緊急アップデートがリリースされました。「PHP2Shell」の2つの脆弱性は、セキュリティ企業のCalifとWizがそれぞれ独立して2026年8月に発見していたことが報告されています。
【解説】PHP2Shell、AIが見つけたPHPの重大脆弱性 CVE番号の流出で公開を前倒し
PHPの重大な脆弱性「PHP2Shell」は、AIを使った研究で8月に見つかり、2か月あまりかけて修正の準備が進められていました。CVE番号の流出、実演動画の誤公開、修正入りイメージの先行公開と、公開予定日の2日前から何が起きたのか。OpenAIの主張と日本と各国の対応を、一次情報で読み解きます。
PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 - GMO Flatt Security Blog
PHP開発チームは2026年10月21日22時40分頃（日本時間）に重大な脆弱性2件を含む、セキュリティリリースをリリースしました。両件のCVSS v4.0スコアは9.2となり、どちらも一般的な構成において任意コードに繋がるものです。 本脆弱性の発見に関与すると見られる研究者の投稿、及び開示に関与した Wiz 社の記事…
PHPの脆弱性をHacker Newsにリークした人物が「秘密だと知らなかった」と謝罪
ウェブサイトやウェブアプリの開発に広く使われているプログラミング言語「PHP」に深刻な脆弱(ぜいじゃく)性が見つかったことで、日本時間の2026年10月21日23時にセキュリティ更新プログラムおよび詳細情報が公開されることがアナウンスされ、多くのウェブサイトやサービスが緊急メンテナンス入りする騒動に発展しました。この件はもともと、PHPセキュリティチームがパッチを公開予定でしたが、ソーシャルニュースサイトのHacker Newsで脆弱性情報が漏えいしたため、前倒しになりました。これを投稿したユーザーがHacker Newsに再度登場し、「PHPの情報公開禁止について何も知らず、とんでもない形で裏目に出た」と騒動に対して謝罪しています。
PHPの2件の深刻な脆弱性(CVE-2026-109618、CVE-2026-109619)についてまとめてみた - piyolog
2026年10月21日、PHPの開発元であるThe PHP Groupは、PHPの深刻な脆弱性2件を修正するセキュリティリリースを公開しました。ここでは関連する情報をまとめます。 何が起きたの? PHPのセキュリティチームは10月20日(協定世界時)、2件の critical な脆弱性を修正するセキュリティリリースを1…
AmazonはPHP2Shell脆弱性を悪用した攻撃を公開4日前に検出していた
Amazonの脅威情報チーム「Amazon Threat Intelligence」は、PHPの脆弱(ぜいじゃく)性「PHP2Shell」を悪用しようとする攻撃を、脆弱性が一般公開される4日前に検出していたと発表しました。情報公開後には攻撃が広範に確認されており、Amazonは早急なセキュリティ更新と過去の攻撃履歴の調査を呼びかけています。
PHPとNode.jsが同じ日に緊急パッチ、どちらもリモートコード実行の恐れ
さまざまなアプリケーションやWebサービスなどで広く使われているプログラミング言語やツールでの脆弱性報告が続いている。オープンソースのプログラミング言語「PHP」では10月21日、リモートコード実行につながる脆弱性があったとして情報とパッチを公開。JavaScript実行環境の「Node.js」でも同日、リモートコード実行につながるものを含む複数の脆弱性情報を公開し、パッチの提供を開始した。
PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判
PHP脆弱性がこれほどまでに世間を騒がせたのは、その緊急性はもちろん、本来伏せておくべきだった情報の先出しが影響している。開発プロジェクトを支援するThe PHP Foundation（PHP財団）が経緯を公開した。
PHP2Shell、修正から1日｜「被害は確認されていない」をどう読むか？サービスは戻っても残る3つの宿題
ネットショップや銀行の受付、ゲームまでを止めたPHPの重大な脆弱性。修正版の公開から一日がたち、多くのサービスが戻りましたが、悪用の試みは数百万件に達し、国内では被害の公表も出ています。攻撃の痕跡がほとんど残らないこと、メモリから漏れた情報は戻らないこと、修正が届かないサイトの多さを、一次情報をもとに整理します。
衆議院議員平野博文君提出死者の人権の保護に関する質問に対する答弁書
お尋ねは、一身に専属する権利の主体が死亡した後に、その権利がどのように保護されるか、という趣旨であると考えるが、一身に専属する権利は相続の対象とはならない。また、死者の名誉を毀損する行為は、刑法（明治四十年法律第四十五号）第二百三十条第一項の名誉毀損罪に当たるが、同条第二項により、虚偽の事実を摘示することによってした場合でなければ、罰しないものとされている。
PHP脆弱性、海外では“政府サイトごと停止”も オランダの電子認証やWikipedia関連サービスなどにも影響
プログラミング言語「PHP」の「緊急」レベルの脆弱性2件を巡り、海外では政府サイトを予防的に停止する動きが相次いだ。オランダは行政ポータルや認証基盤「DigiD」まで止め、フィンランドは政府の公開向けネットサービスを全て停止した。
多要素認証を必須化していた岩井コスモ証券で不正注文｜委託先トレードワークスの管理機能に設定不備
岩井コスモ証券は10月20日、委託先トレードワークスへの不正アクセスに関する第2報で、7口座に顧客の意図しない売買注文が出され5口座で約定したと公表しました。顧客ログインの多要素認証は通常経路の不正ログインを防いでいたとされ、管理機能の設定不備が悪用されました。取引は取引前の状態に戻され、顧客の負担は生じていません。
トクリュウ端末、遠隔解析へ 裁判所令状など要件に導入―有識者会議が提言骨子・警察庁：時事ドットコム
匿名・流動型犯罪グループ（トクリュウ）が使う秘匿性の高い通信アプリの内容を遠隔解析し、犯行計画を事前に把握する新たな捜査手法の法的課題を検討する警察庁の有識者会議は２日、「現行の捜査手法では暗号化された通信内容の解明は困難で、被害防止に遠隔解析が必要」とする提言骨子をまとめた。裁判所による許可令状取得などを要件にしており、９月中にも最終提言を公表する。同庁は警察官職務執行法の改正などの作業を急ぎ、早期導入を目指す。
トクリュウ端末、遠隔解析へ 裁判所令状など要件に導入―有識者会議が提言骨子・警察庁：時事ドットコム
匿名・流動型犯罪グループ（トクリュウ）が使う秘匿性の高い通信アプリの内容を遠隔解析し、犯行計画を事前に把握する新たな捜査手法の法的課題を検討する警察庁の有識者会議は２日、「現行の捜査手法では暗号化された通信内容の解明は困難で、被害防止に遠隔解析が必要」とする提言骨子をまとめた。裁判所による許可令状取得などを要件にしており、９月中にも最終提言を公表する。同庁は警察官職務執行法の改正などの作業を急ぎ、早期導入を目指す。
職場・学校を映したSNS投稿、ユーザー自身の安全のため停止を。不適切な投稿による情報流出問題が続発 BeRealのほかInstagramなどでも、限定投稿を流出させる“模倣犯”出現の可能性【INTERNET Watch編集部コラム】
SNSで、企業の従業員がBeRealやInstagramなどのSNSに業務上の機密情報が写った写真を投稿した、との問題が複数指摘されています。これに関連し、仙台市や西日本シティ銀行では、不適切な投稿や情報流出についての発表を行っています。
