【PHP 脆弱性】一般人は何をすればいい？｜URLが本物でも安心とは限らない

PHP の脆弱性（PHP2Shell）の続報です。通販サイトでクレジットカードを使う時に一般の人が気を付ける事と、会社のサイトの責任者がやる事をお話しします。本物の通販サイトが書き換えられてカードの情報が抜かれる被害の型・クレジットカードの不正利用の対策（明細で早く気付く）・PHP の更新は「頼んだ」でなく「済んだ」まで確かめる・この問題はいつまで続くのか。 2026年10月24日夜の時点で、PHP に追加の修正版は出ていません。国内では IPA（情報処理推進機構）などの機関が正式な注意喚起を出しました。Amazon は、修正版が出る4日前の10月17日に、自社のおとりのサーバーで最初の攻撃の試みを観測したとしています（成功したかは分からないとも）。この穴を使って実際に侵入された、という確認や公表は見当たりません。 ソフトバンクは、10月23日の朝から、ソフトバンク・ワイモバイル・LINEMO の緊急速報メールの配信を止めています（PHP の脆弱性に対応するための緊急メンテナンス・完了は10月26日の予定）。 本物の通販サイトの決済の部分が書き換えられて、入力したカードの情報が別の所へも送られる被害の型があります（経済産業省：ある通販の仕組みで作られたサイトで、2019年の時点で約14万件のカードの情報が漏れていた）。2026年10月の PHP の脆弱性で同じことが起きた例は、10月24日の時点では見当たりません。 一般の人がやる事＝クレジットカードの明細をこまめに確認する（国民生活センターの呼びかけ）・覚えのない請求はカードの裏のカード会社へ・困った時は消費者ホットライン188・初めて使うサイトなどで不安な時は、代金引換やコンビニ払いのように、カードの番号をサイトに入力しない払い方も自分の判断で。 社長や管理者がやる事＝自分の会社のサイトが PHP で動いているか・誰が更新するのかを確かめる。修正を入れても、管理画面などに出る PHP のバージョンの番号が前のままのことがある（あるレンタルサーバーの会社の2026年10月の案内）＝サーバーの会社や制作会社の「適用済み」の知らせで、済んだことを確かめる。ネットでカードの支払いを受ける会社は、サイトの脆弱性の対策と EMV 3-Dセキュアができているかを、制作会社や決済の会社に聞いておく。 PHP の公式は、8.1以前のバージョンには更新は出ない、としています。世界のサイトの10月24日の集計から計算すると、PHP を使うサイトのおよそ半数が8.1以前で動いています。8.2も2026年の年末でサポートが終わります。 同じ10月21日（日本時間）に、Node.js でも10件の脆弱性が修正されました（PHP とは別の問題）。Next.js にも10月15日に臨時の更新が出ています。 数字と状況は、2026年10月24日夜の時点の言い方です。 ■ チャプター 00:00 はじめに 01:24 PHPの脆弱性のその後 緊急速報メールの停止と、10月24日までに分かった事 05:03 ECサイトのクレジットカード情報 本物のサイトが書き換えられる被害 07:00 クレジットカードの不正利用の対策 一般の人がやる事 08:37 PHPの脆弱性の対応 社長と管理者がやる事 10:15 PHPの脆弱性はいつまで続くのか 11:46 Node.jsの脆弱性 Next.jsも更新 13:14 おわりに ※ 動画の中で言い間違いをしている場合があります。その場合は、字幕の表記を正としています。 ■ 出典 ・IPA（経済産業省の発表の転載）の注意喚起（2019年12月25日・通販の仕組みで作られたサイトの決済画面の改ざん等） https://www.ipa.go.jp/archive/securit... ・経済産業省の報告書（2023年1月20日・EC サイトのコンテンツ改ざんの手法への変化） https://www.meti.go.jp/shingikai/mono... ・駿河屋のお知らせ（2025年8月8日・決済時に入力された情報の流出） https://www.suruga-ya.jp/feature/osir... ・愛媛県警「サイバーセキュリティだより」Vol.115（令和6年8月16日） https://www.police.pref.ehime.jp/cybe... ・PHP 公式のお知らせの一覧（2026年） https://www.php.net/archive/2026.php ・IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日） https://www.ipa.go.jp/security/securi... ・JPCERT/CC 注意喚起 JPCERT-AT-2026-0033（2026年10月22日） https://www.jpcert.or.jp/at/2026/at26... ・Amazon の AWS Security Blog（日本語版） https://aws.amazon.com/jp/blogs/news/... ・NCSC-NL（オランダ国家サイバーセキュリティセンター）の PHP の脆弱性の注意喚起（2026年10月23日 15:43 更新） https://www.ncsc.nl/alerts/kwetsbaarh... ・GMOインターネットグループの発表 第4報（2026年10月24日 11:50） https://group.gmo/info/alert/20261024/ ・TBS の報道（Yahoo!ニュース・2026年10月24日） https://news.yahoo.co.jp/articles/bb7... ・ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」（2026年10月22日） https://www.conoha.jp/wing/news/?btn_... ・ソフトバンク「メンテナンスに伴う緊急速報メールの配信停止について（PHPの脆弱性に対する対応）」（2026年10月23日） https://www.softbank.jp/corp/news/inf... ・ゼッテリアのお知らせ（2026年10月21日・アプリ全機能の一時停止） https://www.zetteria.jp/news/261021.html ・ほっともっと公式トップのお知らせ（MyHottoMotto 会員サービスの一時停止） https://www.hottomotto.com/ ・国民生活センター「見守り新鮮情報」第550号（2026年9月3日） https://www.kokusen.go.jp/mimamori/pd... ・日本クレジット協会「クレジットカード・セキュリティガイドライン【6.1版】」の改訂点（2026年3月） https://www.j-credit.or.jp/security/p... ・PHP 公式「Unsupported Branches」 https://www.php.net/eol.php ・W3Techs（PHP のバージョン別の利用・2026年10月24日） https://w3techs.com/technologies/deta... ・PHP 公式「Supported Versions」 https://www.php.net/supported-version... ・IPA「PHPの脆弱性（CVE-2024-4577）を狙う攻撃について」（2024年7月5日） https://www.ipa.go.jp/security/securi... ・Node.js「Wednesday, October 21, 2026 Security Releases」 https://nodejs.org/en/blog/vulnerabil... ・Next.js「Next.js Security Update for Upstream Vulnerabilities」（2026年10月14日） https://nextjs.org/blog/nextjs-securi... ・PHP ロゴ：Colin Viebrock／CC BY-SA 4.0 https://creativecommons.org/licenses/... ・改変なし（出典 https://www.php.net/download-logos.php） ■ 墨家（すみやか）について 会社の中に入り、AIを日々の仕事に組み込む仕事をしています。ホームページの制作と、会社ごとの業務ツールの開発も、一人で手がけています。 15歳でWordPressとHTML／CSS／JavaScriptを独学し、サイトの公開まで自力でやり切って以来、作る側に立って約15年。情報技術を専攻して大学を卒業した後、大手美容外科クリニックで社内・院内のシステムを7年間担当し、29歳で独立しました。 正確さと守秘義務が求められる医療の現場で身についた「AIに何を渡し、何を渡さないかを先に決める」習慣は、今も変わりません。 ■ サイト https://akashiki.com お仕事のご相談は、サイトのお問い合わせフォームからお送りください。 #PHP #脆弱性 #クレジットカード