紫水勇太郎・清水 豊

Spinart運営者
YouTube「うさぎのうみちゃんねる」のおじぃ
YouTube「Crazy NOVA's NO VAnity!」のアシスタント
...

続きを読む

　2026年10月21日、突然、時の首相・高市早苗さんのXにこんな投稿がされた。曰く、
「皆様に、今夜に対応して頂きたい大至急のお願いです。
　多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。
　公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
　国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。」

　正直言うとこの発信をこの投稿時点では見ていなかった。で、翌朝早朝、いつものようにSpinartの更新作業等を確認しようとサイトを開いた時点で、
「なんじゃこりゃっ！」by 松田優作
的になった次第である。

　泡食った。
　だってサイトが表示されないのである。
　サーバのコントロールパネルやドメインのコントロールパネルにもアクセスできない。
　表示されているのは無情な「502 Bad Gateway」。
　その意味するところは、中継サーバーが、データの送信先である上流のサーバーから無効な応答を受け取ったことを示すコード。つまり、大もとのサーバーがトラブっていることを示している。しかも、時々やらかす、サーバーの料金を入れ忘れたとか、更新を忘れたという類のものではない。だって今まで「502」なんて見たことないんだもの。

　で、頭をよぎる「ひょっとして？」な思い。
　同一のサーバー、同一のドメイン管理会社を利用している他のサイトも同じだったり？…と、超絶嫌な予感がしてそれらを開くと…うわぁ〜同じだ…かな〜り重要なクライアントのサイトも見事に表示されないし、サーバーのコントロールパネルもドメインのコントロールパネルも開けない。
　両者も同様に「502 Bad Gateway」だ。

　これはヤバい…マジでヤバい…すぐにそれぞれの会社のみなさんに連絡しなきゃ…しかし時刻は朝の5:00。通常であればメールですべてに連絡差し上げるところだけれど、状況から考えてメールがちゃんと動作してるのかも不安な状態。
　業務上メインのメールと、その他のサーバー上で動作している別のメールとの間で何度かテスト。
　送れる？　受信は？…どうもやれたりやれなかったり、状況的にはだいぶ不安定だ。メールでの送信は信頼できない。

　だから各社主要なみなさんのSNSアカウント等を探す。
　普段SNSでやりとりするなんてあまりないから埋もれている。
　しかし探す…SNSアカウントが分からない方については、他のメルアドがないかとか、LINEで同じ会社の他の方にお伝えできないかとかいろいろ考える。
　そしてなんとか、クライアントすべてのご担当社様全員にとりあえず現状だけはお伝えすることができた。
　・サイトが閲覧できません
　・メールが不安定です

　さらに情報収集を続ける。身内の技術スタッフにも連絡する。
　結果、サーバーもドメインも、PHPの脆弱性が判明したことによる対策として運用を一時的に停止したという情報を見つける。
「PHPの脆弱性？」
　そういえばと記憶の端にそんな情報が流れていたことを思い出す。しかし自分たちはWordpressを使用しないサイト構築をしていたのでさほど重大なことだと感じていなかった。しかしそれが今、PHPを使用していないはずの自分関連の様々なサイトの閲覧を不可能にしている？…どゆこと？…等々、状況をしっかりと把握する必要に迫られた。

　調べて分かった。
　前夜、自分がもう仕事を終えてご飯を食べて「さて明日の準備…」なんて考えつつ、呑気に「笑点」の動画なんて見ていた22:00頃、上記の高市首相の投稿がなされたのだ。
　そしてその後の23:00にPHPの脆弱性に関する修正パッチが公開され、速攻対応をしたいくつかの会社は、すぐにこの対応をし、結果そのサーバーを停止。そしてそのサーバー上にあるサイトの閲覧ができない状態になったのだ。

「PHPの脆弱性ってなんやねん。」
　すぐに思ったがすぐに情報を見つけることはできなかった。
　だいぶ時間が経って、その間調べまくって分かったのは、今年8月、ChatGPTの開発運営会社として有名なOpenAI社が、OSS（オープンソースソフトウェア…誰でも自由にアレンジ等して配布販売することを許されているソフトウェア）の脆弱性を探すプロジェクトを、自社AIを活用して実施。その際にPHPプログラムの重大な欠陥を突き止めたということ。
　そしてそれを、米セキュリティ企業・Calif社が、同じくOpenAIのAIモデルを活用しその脆弱性を特定し、並行して、独クラウドセキュリティ企業・Wiz社が、独自にこの脆弱性を発見し実証・報告を実施したんだとか。
　その後その情報を得た日本の独立行政法人・情報処理推進機構（IPA…日本のITとセキュリティを国レベルで守り育てるための専門組織）が、10月21日、PHPの修正プログラム（パッチ）が公開される前日のタイミングにこの内容を公表し、国内IT関連企業や技術者に早急なる対応を促した。
　それを受けて、利用しているサーバーの運営企業がいち早くサーバを止めて修正プログラムの導入を実施し、その作業期間中のサーバ運用を停止させた…と。

　だからさぁ「サーバーを止めなきゃいかんくらいヤバかったんけ？」…という素朴な疑問の答えを知るべく引き続き探すと、「今回発見された脆弱性が、遠隔の第三者によって任意のコードを実行される恐れがある緊急度の高い問題だった」という記述を発見。こりゃ相当ヤバい状態だと改めて認識しつつ、同時に、楽天、ウィキペディア、ニコニコ動画、nifty、pixiv、バンダイ、さくらインターネット、大和証券、みずほ銀行、JR東日本、日本航空、全日本、等の有名サイトが機能停止している情報に接し、想像以上にとんでもないことになっていることを改めて実感した（遅い）。
　しかし、情報を集めれば集めるほど、自分たち側ではなにもできないことが分かり、とりあえず引き続き情報収集するしかないかというマインドに…正直困った。

　で、1時間、2時間と経つうちに、いくつかのサイトで問題が解決され再表示されるようになったという情報を得て、修正パッチを反映できれば状況が解決されるという期待は増しつつ、しかし、巨大なレンタル・サーバーではインストールも検証確認も遅くなるだろうなぁと覚悟。
　そしてその後、7時間近くを経て問題は解決された（サイトが表示されるようになってシステムやらなにやら周辺の問題も解決されたような状態になった）。

　で、今回の状態を受けて思ったこと。
　この後さらに多くのサーバが止まる可能性もあるなぁと。
　今回問題となったPHPプログラムは、全世界シェアNo.1のコンテンツ管理システム・Wordpressの基幹となっているプログラムで、このPHPに脆弱性があるということは、その上で動作しているWordpressを使用して運営されているサイトに影響が出るということかなと。つまり、今回動作を止めたサーバーたちの他にも、もっと多くのサーバーに影響が出るのでは？…なんてことを思う。
　ついてはこの混乱、この日だけで終わらずまだしばらくの間、今回のPHP問題の影響が出るんじゃないかなと。

　そしてさらに懸念するのが、今後こうしたケースが頻発する可能性があるということ。
　特に注目したいのが、今回この脆弱性を発見したのがAIであったことは象徴的かなと。
　PHPプログラムは、既に20年以上に渡ってWebサイトの表示や運用をサポートしており、オープンソースであることもあって、非常に多くの技術者がその改変や向上に関わってきたプログラム…ですよね。
　しかし今回、そうした超優秀な方々がこれまで発見できなかった脆弱性をAIが発見したとすれば、今後他のプログラムでも同様の発見がなされる可能性もあるし、そうしたことを悪用しようとするハッカー側でもAI利用を積極的にさせる可能性も考えられ、結果、今回の一度だけ、PHPプログラムの話だけということでは済まないのではとも考えられるなぁと…。
　すると同じようなケースが今後、様々な基幹プログラムで発生し、その都度サーバーを止めたりサイトが閲覧できなくなったり、個人情報が抜き取られたり…するのかも？

　正直これは緊張感が高い。自分もWeb関連の仕事についてなんやかんや25年以上になろうとしてるけど、こんなヤバい度の高そうな事象はさすがに初めてだ。だいたい今回の、世界中これほど多くのサーバーに大規模な影響を与えた案件は本当に記憶がない。だから本当に泡食った。だってサーバー止めると思わないもの。それもそれによって自分関連のサイトすべてが見られなくなったなんてこと過去にないもの。サイトが見られなくなっただけじゃなく、コントロールパネルまで全部開けなくなったなんてこと本当に初めてだもの。そして情報を探していけばまぁその規模の大きいこと…なんか「この世界の片隅に」で広島の原子爆弾投下の事実を知らないまま、だんだん明らかになる事象を見ながらことの重大さを少しずつじわじわを知っていくような感覚があったもの…正直ちょっと怖ささえ感じた。

　しかもその発端を作ったのがAIだということ。
　ほんの数年前までにはそんなもの影も形もなかった…いや、あったけどさすがにここまでの能力はなかったものが、ほんの2〜3年でここまでの水準になるという驚異。
　最近得た情報によると、ChatGPTで有名なOpenAIのAIシステムが別のAI企業に自力で侵入したなんて話もあるし（GPT-5.6 Solと社内でテスト中のさらに高性能なモデルの組み合わせによってHugging Face（「AI分野のGitHub」と呼ばれる世界最大のオープンソース・プラットフォームでその運営企業）のサーバーの脆弱性を見つけてそのサーバーに入り込んだんだとか…こわっ）、ClaudeのAnthropicはAIが感情を持っているように動く研究を進めてるなんて話もあります。
　これはつまりAIが、かなり自律的に自己判断で動き出す可能性を示唆しているものとも思えますから、それこそ近い将来（AIの進化速度を考えれば極めて近い将来かもしれませんね）、たがみよしひささんの漫画「GRAY」のように、コンピューターが「人間は滅びたがっている」なんていう結論を出して、それを助けるために人間を絶滅させるためのアクションをするようになるかもしれないし、もっと有名なところでは「ターミネーター」のように、人間を自分たちの敵と認識して物理的に滅ぼしにかかるかもしれません。それにメタバースな技術がくっつくと、聖書の「啓示」に描かれているハルマゲドンによって救われるという少数の者の話にも重なって、人間をよく知るAIにとってはけっこう整合性のある話になるかもしれませんねw

　え？…都市伝説的ですか？　陰謀論的ですか？…まぁそうかもしれませんねぇ。
　これまでの世界の歴史を見れば、こうした最悪の状態が想定される場合、その最悪の状態はなんとか回避されることが多いですもんね。ああよかったよかったw
　でもきっと今回のPHP問題のようなことはきっとまた起こるでしょうねぇ…だって最悪のシナリオじゃないからw　それに戦争も、米スペースX社のスターリンクがからんだり、ウクライナのドローンの成功事例もあるし、あれにAI絡めたら…なんて容易に想像できますね。
　米中が開発している四つ足のロボット兵なんてのもなかなか不気味ですね。この辺、きっと最悪のシナリオじゃないからけっこう実現するかもしれませんねw

　さて今回のPHPの脆弱性問題で本当に新しい扉が開いちゃった…それもあまりよくない扉が開いちゃった気がします。そんな世の中をどう生きていくか…考えるとちょっと面倒臭いとも思っちゃいますけどw

　そうそう、東日本大震災とか新型コロナの大流行の時も思ったし今回も思ったんだけどさ、こういう大事件を予測できない占い師とか宗教関係者ってどうなのよ！w…いい加減嘘ついて人から金取るのやめましょうぜw…なんてことも思いますなぁw

※写真はうちの近所で撮影した月の写真…その2。
　カラーで撮ってるはずなんですけど、なぜかこんな感じになっちゃいました。
※使用カメラ＆レンズ：Canon EOS 6D + EF24-70mm F2.8L II USM