「PHPって大丈夫？」とClaudeに聞いた日。世界中のサイトで起きていること

昨日の夜、ニュースで「PHPに重大な弱点」という見出しを見かけました。PHP（ピーエイチピー）が何かもよく分かっていないのに、なんだか不安になって、Claudeにひとことだけ聞いてみました。

すると、Claudeはこのサイト（jiujitsu.co.jp）のファイルを全部調べて、こう答えてくれました。

このサイトはPHPをまったく使っていないので、大丈夫です。

ほっとしたので、続けて「よのなかでなにがおきてるの」と聞きました。今日は、そのとき教えてもらったことを、私なりにまとめます。

そもそもPHPってなに？

PHPは、ウェブサイトを動かすためのプログラムの言葉です。ブログやお店のサイトでよく使われているWordPress（ワードプレス）も、PHPで動いています。世界中のとても多くのサイトが、裏でPHPを使っているそうです。

つまり、PHPに弱点があると、世界中のサイトがいっせいに危なくなるということです。

見つかった弱点は2つ。まとめて「PHP2Shell（ピーエイチピー・トゥー・シェル）」と呼ばれています。

危険度9.210点満点のうち

見つかった弱点2つまとめて「PHP2Shell」

悪用されると、ログインもしていない知らない人が、よそのサーバーで好きなプログラムを動かせてしまうそうです。お店でいえば、鍵を持っていない人が裏口から入って、レジを勝手に操作できるようなものです。

10月20日PHPの開発チームが「重大な弱点がある」と予告直す準備ができるまで、くわしい中身は伏せられていました。ところが、この日のうちに中身が外に漏れてしまいます。
10月21日日本の会社でも緊急の対応が相次ぐさくらインターネットが一部サービスの機能を止め、Cygames（サイゲームス）やpixiv（ピクシブ）なども緊急メンテナンスを発表しました。
10月21日夜直した版（修正版）が公開される中身が漏れたため、予定より1日早く出されました。日本時間で22時40分ごろです。

攻撃を試す動きが出始めたという報告もあります。ただ、10月22日の朝の時点で、乗っ取りに成功した例は、まだ確認されていないようです。調べている会社によって説明が少しずつ違うので、ここは私も続報を見ていきます。

このサイトは、出来上がったページをそのまま見せるだけの作り（「静的サイト」というそうです）になっています。見る人が来るたびにサーバーでプログラムを動かす、ということをしていません。だから、PHPの弱点とは関係がありませんでした。

Claudeによると、サイトの中に「php」という文字は出てくるそうです。でもそれは、Facebookのシェアボタンや、道場ガイドに載っている各道場のサイトへのリンク先の住所だけでした。PHPが動いているのは相手のサーバーで、うちのサイトではありません。

ニュースや検索の自動更新も、PHPではなく別の仕組みで動いているので、こちらも関係なしでした。

うちは大丈夫でしたが、道場やお店でサイトを持っている人は多いと思います。私が教えてもらった範囲で、確認したいことをまとめます。

WordPressを使っているか　使っていれば、PHPも使っています
レンタルサーバーやホームページの会社から、お知らせが来ていないか　サーバーのPHPを直すのは、多くの場合その会社です。メールや管理画面のお知らせを見てみてください
自分で管理しているサーバーなら、PHPを修正版に上げる　8.5.12、8.4.27、8.3.36、8.2.35 が修正版です
WordPressやプラグインの更新だけでは直らない　ここがいちばん大事。直すべきなのは、その下で動いているPHPそのものです

「自分のサイトがPHPかどうか分からない」という人は、サイトを作ってくれた人や、サーバーの会社に聞くのがいちばん早いと思います。私のようにClaudeに聞いてみるのも、ひとつの手です。

「phpだいじょうぶなの？」と、ひらがなでひとこと聞いただけで、サイトの中身を全部調べて、世の中の状況まで教えてもらえました。分からないことを、分からないまま聞ける相手がいるのは心強いです。

うちでもAIに仕事を任せたい。
毎月の作業を「係」にするお手伝いをしています。いまはお会いしたことがある方に限って、先着3名さま・道具ひとつ分まで無料です。AIのお手伝い、承ります →