話題
2026年10月21日
PHPに重大脆弱性 オランダの国家サイバーセキュリティセンターが自らダウン
PHPに深刻な未パッチの脆弱性が見つかり、影響を懸念したオランダの国家サイバーセキュリティセンター(NCSC)をはじめ、ベルギーのサイバーセキュリティセンター、フィンランドの政府サービス、オーストラリアのcyber.gov.auまで、各国のセキュリティ機関の公式サイトが相次いで自主的にオフラインになった。公式パッチはUTC14時に公開予定とされていた。Hacker Newsのスレでは、「セキュリティ機関自体がPHPで動いていた」ことへの皮肉や、PHPという言語そのものへの批判、修正パッチがなぜ即時ではなく予定公開になるのかをめぐる議論で盛り上がった。
オランダの国家サイバーセキュリティセンター、PHPを使っているためオフラインに
出典: ncsc.nl / 元記事はこちら
2
海外の名無しさん
2026-10-21 12:55
今朝遭遇しただけでもOBS、TicketTailor、山ほどのwikiなど、PHPの更新が終わるまで攻撃を防ぐためか大量のサイトが現在オフラインになっている。
18
海外の名無しさん
2026-10-21 13:22
OBSは普通に動いてるみたいだけど
19
海外の名無しさん
2026-10-21 13:07
TicketTailorは普通に見れるけど?
3
海外の名無しさん
2026-10-21 12:57
だからこそ(ほぼ)静的なサイトは静的HTMLとして配信すべきなんだよ。
20
海外の名無しさん
2026-10-21 13:14
個人ブログだった最後のPHPサイトを静的サイトジェネレーターに移行したばかりなんだけど、タイミングが良かったみたいだ。唯一失ったのはコメント機能だけど、ここ数年スパムばかりになってたし。移行のついでに色々直せて、むしろ良くなった部分も多い。
21
海外の名無しさん
2026-10-21 13:39
エンドユーザーがコンテンツを編集したい場合はどうしてるの?MarkdownやGitなんて知らない人たちなのに。
22
海外の名無しさん
2026-10-21 13:30
まさにそれ!残念ながらうちの静的HTMLは配信前にPHPエンジンで事前レンダリングされてるんだよな。
5
海外の名無しさん
2026-10-21 13:12
ベルギーのサイバーセキュリティセンターもダウンしてる。DrupalとWordPressにとっては暗黒の日だな。
6
海外の名無しさん
2026-10-21 13:37
URLをWeb Archiveのキャッシュに変えた方がいいんじゃない?
7
海外の名無しさん
2026-10-21 13:13
PHP7以降へのアップグレードを頑なに拒んできたPHP4〜6の開発者たちに哀悼の意を。今度は9.2で破壊的変更が来てしまったわけだし。
29
海外の名無しさん
2026-10-21 13:16
4年くらい前、前の会社でPHP5から8へのアップグレードをかなり頑張って主張したことがある。5のサポートが切れるとかそんな理由だったと思う(記憶違いかもしれないけど)。自分の経験から言うと、大半の普通の開発者はセキュリティパッチのライフサイクルなんて気にもしていないんじゃないかな。
30
海外の名無しさん
2026-10-21 13:32
9.2にアップグレードするより、パッチを4〜6のコードに移植する方が多分楽なんだろうな。パッチが出たら、いつも通り『誰も使わないこの忌々しい機能を無効化するだけ』で済む話だろうし。
8
海外の名無しさん
2026-10-21 12:50
まあ、NCSCの公開サイトがオフラインになってるだけだからね。裏側にどんな独自システムがあるかは誰にも分からないけど。
31
海外の名無しさん
2026-10-21 13:07
それはどうかな。こういう時こそ、99%静的な公開サイトくらいは動き続けて誰でも見られる状態であってほしい。PHPを使っていた点でも、フォールバック計画がなかった点でも、完全に任務失敗だと思う。
32
海外の名無しさん
2026-10-21 12:54
ハッキングが全てデータ窃取目的とは限らない。ここは権威あるサイトだ。もしこの脆弱性を使って、認証情報を盗むコードを仕込んだ偽のPHP修正版を配布されたりしたら大問題になる。
33
海外の名無しさん
2026-10-21 12:52
もしかしてPHP4使ってるとか?(笑)
9
海外の名無しさん
2026-10-21 12:53
PHPはあと5分でパッチを公開するんだろ?しかもそのサイトはPerl CatalystかRuby on RailsかDjangoで動いてるわけで。何も問題なんて起きるはずないよな?
34
海外の名無しさん
2026-10-21 12:55
UTCの14時に公開予定だから、あと1時間くらいだね。
35
海外の名無しさん
2026-10-21 13:17
php.netは実際にPHPで動いてるけど、さすがにもう修正済みバージョンを使ってると思いたいね。
10
海外の名無しさん
2026-10-21 13:33
explainxkcdも同様。『本日、PHPにphp2shellと呼ばれるリモートコード実行の脆弱性が見つかった。explain xkcdもこの脆弱性の影響を受けるため、明日までwikiを停止することにした』とのこと。
11
海外の名無しさん
2026-10-21 13:21
PHPを叩くのはいくらやっても足りないよな(笑)
12
海外の名無しさん
2026-10-21 13:11
PHPを叩くのは簡単だけど、そのうちPythonやGoみたいな言語でも同じような脆弱性が出てくるんじゃないかと思う。
37
海外の名無しさん
2026-10-21 13:36
この調子だと、そのうちあらゆるものに脆弱性が見つかりそうだな。
38
海外の名無しさん
2026-10-21 13:25
多分ないと思う。PHPは作りがひどいから、この手の問題が頻繁に起きるんだよ。
13
海外の名無しさん
2026-10-21 12:51
フィンランドの政府サービスも同様にダウンしてる。
14
海外の名無しさん
2026-10-21 13:22
またPHPかよ。
16
海外の名無しさん
2026-10-21 13:29
オーストラリアのサイト(cyber.gov.au)も同じ状況。1時間前まではまだ動いていて、アラートのサブセクションだけ403を返していたけど、今はサイト全体がダウンしてる。
23
海外の名無しさん
2026-10-21 13:08
Cloudflareはすでに脆弱性を緩和するWAFの管理ルールを展開済み。ただし、あくまで応急処置であり、パッチ適用は引き続き推奨するとのこと。『新しい攻撃経路が見つかるたびに緩和策を更新している』ともツイートしているから、この脆弱性には攻撃手段がかなり色々あるってことなんだろうね。
45
海外の名無しさん
2026-10-21 13:31
WAFは既知の攻撃手法をブロックできるだけで、新しい、あるいは少し変えられた攻撃手法による悪用を防げるわけじゃない。
24
海外の名無しさん
2026-10-21 13:20
うちの大学も今まさに同じことをやってる!何年もサイトを更新していない学部の、かわいそうなシステム管理者たちを守るために、ネットワーク全体をVPN経由にしようかって話も出てたよ。
25
海外の名無しさん
2026-10-21 13:11
Europa.euと関連サブドメインも、中央ヨーロッパ時間の早朝にダウンしていた。あそこはDrupalで動いてる。
27
海外の名無しさん
2026-10-21 12:59
ちょっとした情報漏えい一つで十分なんだよ。今回もそれが起きたっぽいね。
46
海外の名無しさん
2026-10-21 13:14
ああ、つまりちゃんとした調整(事前通知)自体は行われていたけど、誰かがそれを漏らしたってこと?
47
海外の名無しさん
2026-10-21 13:24
セキュリティ問題を起こしたことのないプラットフォームなんてあるか?まあそれはともかく、CCB(ベルギーのサイバーセキュリティセンター)は実質マーケティング組織であって、ITセキュリティの組織じゃないんだよ。確か自前でサイトをホストすらしておらず、首相府が代わりにホストしてるはず。
53
海外の名無しさん
2026-10-21 13:33
『セキュリティ問題を起こしたことのないプラットフォームなんてあるか』というのは単純化しすぎだ。『事故を起こしたことのない自動車メーカーなんてあるか』と言ってるのと同じで、だからといって全部の車が同じくらい安全なわけじゃない。言語やCMSによって重大な欠陥が起きる可能性には大きな差がある。PHPの実績はひどいもので、今もなお悪い意味で驚かされ続けてる。
52
海外の名無しさん
2026-10-21 13:20
どうしてこの修正は『できるだけ早く』じゃなくて『予定日』になってるんだ?
57
海外の名無しさん
2026-10-21 13:37
自分の理解では、この修正を公開すること自体が脆弱性の存在を世間に知らせることになるからだと思う。スケジュールを決めて公開すれば、各所が決まった時間にサービスを止めてパッチを当てる、という対応が取れる。※追記:もう何人かが同じ回答をしてた、失礼。
58
海外の名無しさん
2026-10-21 13:30
さあね。公式な説明は特に出てない。
この話題の背景と論点
今回の事態は、PHPでリモートコード実行が可能になる重大な脆弱性が見つかったことを受け、修正パッチが公開される前の時間帯に、悪用を防ぐための予防措置として各サイトが自ら停止したものとみられる。NCSCが「攻撃を受けてダウンした」わけではなく、パッチ公開(UTC14時予定)までの一時的な自衛措置だった点は誤解されやすい。スレでは、セキュリティ機関自身がPHPで運用されていた皮肉さに加え、修正がなぜ即時公開ではなく「予定された時刻」になるのか(事前に公開すると脆弱性の詳細が広まってしまうため)をめぐるやり取りがあった。また、PHPという言語そのものを問題視する声と、言語を問わず今後同様の脆弱性はPythonやGoでも起こり得るという声とで評価が割れており、「PHPは古いから」という単純な結論だけでは実態を捉えきれない点に注意したい。
※本記事は海外掲示板 Hacker News のスレッド「Dutch National Cyber Security Center is Offline because it uses PHP」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。