10月21日21時55分、高市総理がXでPHPの修正パッチへの対応を呼びかけてから、約50時間が経ちました。
25時間時点の記事では「攻撃の試行は急増、侵入成功の公的確認はなし」とまとめました。この記事では、その後の約1日で何が変わったか、実際にどんな被害が出たのか、そしてサイトを使う側（一般の利用者）は何をすればいいのかを整理します。
この記事は10月23日深夜（日本時間）までに確認できた情報にもとづきます。状況は変わる可能性があるので、各公式発表もあわせて確認してください。
| 項目 | 25時間時点（10/22夜） | 50時間時点（10/23深夜） |
|---|---|---|
| 攻撃の試み | 数百万件規模 | 継続。Mirai系ボットネットの運用者も加わる |
| 侵入の成功 | 公的な確認なし | 依然として確認なし。「成功」とした報告は撤回された |
| 「PHPが原因」とされた国内被害 | 報告なし | 1件あったが、翌日に原因を訂正（PHPではなかった） |
| 公開されている攻撃コード | 動くか不明 | 標準的なPHP環境では動かないとの分析が出る |
| 修正版の不具合 | 8.4.27 / 8.5.12 でSimpleXMLのクラッシュ報告 | 修正コードはコミット済み。修正版のリリースはまだ |
| 国内サービス | 多くが再開 | さくらインターネットの緊急メンテは全終了。一部ゲームはサービス終了や長期停止 |
| 米CISAの「悪用確認済み」リスト | 未掲載 | 10月23日朝時点も未掲載 |
10月23日時点で、この脆弱性を使った侵入が成功したと公的に確認された例は見当たりません。主な報告は次のとおりです。
POSや勤怠管理などの業務システムを提供するバルテックは10月22日、不正アクセスを受けて顧客情報が流出したとみられると発表し、当初は原因を「PHPの脆弱性を標的としたサイバー攻撃」と説明しました。
しかし10月23日付でこの説明は誤りだったと訂正し、原因は「自社サービス自体の脆弱性を悪用されたもの」としています。PHPの脆弱性への対応と、今回の不正アクセスを混同したためと説明されています。
同社のサービスは多数が停止中で、復旧は最短10月26日（月）中の予定です。流出した可能性のある情報の範囲は調査中です。
「PHPの脆弱性で情報が漏れた」という話を見かけたら、元の発表が訂正されていないかを確認してください。
侵入の被害は確認されていない一方で、更新作業のための停止や、サービスそのものの終了は実際に起きています。
古いPHPのまま長く動いていたサービスほど、修正版にすぐ移れず、「止める」「やめる」を選ばざるを得なかった形です。
公表直後は「パッチ公開から15分で大量に悪用される」という予測もありました。そう予測していたオランダのセキュリティ企業Sansec自身が、10月22日に見方を修正しています。
「今は成功例がない」は、「この先も安全」という意味ではありません。
PHPは、Webサイトを動かすサーバー側のプログラムです。閲覧するだけの人のスマホやパソコンには、更新するものはありません。
1. 「PHPの脆弱性対応」を名目にしたメールやSMSのリンクは開かない
話題に便乗した詐欺に注意してください。ITジャーナリストの三上洋氏は、関西テレビの番組で「PHPの脆弱性、私たち個人には関係ありませんから、そういうメールが来ても無視してください」と呼びかけています。
たとえば次のような文面は疑ってください。
確認したいときは、メールのリンクではなく、公式アプリか、自分でブックマークした公式サイトから開いてください。
2. 使っているサービスから個別のお知らせが来たときだけ、その指示に従う
パスワードの変更を求められた場合は、そのサービスの公式サイトやアプリで内容を確かめてから変更してください。バルテックのように実際に情報流出が起きたサービスでは、今後お知らせが届く可能性があります。
3. パスワードを使い回しているなら、この機会に変える
今回の件とは関係なく、同じパスワードを複数のサービスで使っていると、どこか1か所の流出で他のサービスにも入られます。使い回しているものだけ、サービスごとに別のパスワードに変えておくと安心です。
4. 止まっているサービスの状況は、公式の発表で確認する
「〇〇が止まった＝〇〇が攻撃された」とは限りません。多くは更新作業のための予防的な停止です。再開時期やデータの扱いは、各サービスの公式サイトや公式SNSで確認してください。サービス終了が発表されたゲームの払い戻しなども同様です。
詳しい手順は25時間時点の記事にまとめています。この1日で変わった点を中心に書きます。
| 使っている系列 | 更新先 |
|---|---|
| PHP 8.5 | 8.5.12 以降 |
| PHP 8.4 | 8.4.27 以降 |
| PHP 8.3 | 8.3.36 以降 |
| PHP 8.2 | 8.2.35 以降（8.2は2026年12月31日でサポート終了） |
| PHP 7.4 / 8.0 / 8.1 | 公式の正式リリースはなし。PHPが公開した最小限の修正コード、またはディストリビューションやLTSベンダーのパッケージを使う。Remiリポジトリはこれらの系列のパッケージを出していない |
| PHP 7.3 以前 | 修正なし。サポート中の系列へ移行する |
更新したら、PHP-FPMやApacheを再起動してください。
PHPの公式は「設定の変更だけで完全に防げる方法はない」としています。すぐ更新できないサーバーは、外部からのアクセスを制限するか、更新できるまで止めてください。
修正版の8.4.27と8.5.12では、SimpleXMLを使う処理でPHPがクラッシュする不具合（zend_mm_heap corrupted）が報告されています。8.3.36と8.2.35は対象外です。
AWSが最初に悪用の試みを観測したのは、公表4日前の10月17日です。ログの調査範囲は10月21日からではなく17日からにしてください。JPCERT/CCが示している確認ポイント（不自然な PHPSESSID、不審な multipart/form-data リクエストとその前後のメモリ上限エラーやHTTP 500、PHPワーカーの異常終了など）は前回の記事を参照してください。
| 論点 | 状況 |
|---|---|
| 侵入の成功例 | 10月23日時点で公的な確認なし |
| 米CISAの「悪用が確認された脆弱性」リスト | 10月23日朝時点で未掲載 |
| SimpleXMLの不具合を直した修正版の公開日 | 未定 |
| バルテックの流出の範囲 | 調査中。PHPの脆弱性とは無関係と訂正済み |
| サポート終了版で動き続けるサイト | 推計1億を超えるが、どれだけが更新・停止されるかは不明 |
PHPとは別に、9月下旬から相次いでいる不正アクセス・情報流出（佐川急便、カプコン、ソースネクストなど80件超）と、利用者がやることはこちらにまとめています。
25時間時点の状況と、サイト運営者向けの詳しい手順（バージョン確認・暫定策・攻撃痕跡の調べ方）はこちらです。 技術的な仕組み（memory_limit を越えたときに何が起きるのか）は、こちらで詳しく書いています。 ---