PHPの穴、翌朝までに直した会社は約50分から16時間超まで続いて見つかったChrome・証明書・Java・GitLabの穴と、攻撃は公開の4日前から

PHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称php2shell）の修正版が出てから一夜。各社の公式の告知を確認できた範囲では、止めたサービスを戻すまでにかかった時間は、シンジェンタジャパンの製品ページで約50分、pixivで4時間30分、Studioで5時間39分、BASEで16時間10分と大きく違いました。2026年10月22日9時ごろの確認では、まだ止まったままの所もありました。同じ2日間に、Chrome、証明書、Java、Node.jsなどでも、PHPとは別の原因の穴が見つかっています。さらにAmazonは、php2shellを狙った攻撃の試みが、公開の4日前の10月17日にあったと発表しました。

この記事の内容は、2026年10月22日の昼（日本時間）時点の公式の発表と告知に基づきます。1本目の記事（PHPの重大な脆弱性2件、修正版が公開）は、穴の内容と、WordPress利用者がやることを中心にまとめています。この記事は、その翌日の続報です。

3行まとめ

1. 修正版の公開から一夜、止めたサービスを戻すのにかかった時間は約50分から16時間10分まで。10月22日9時ごろでも、ニコニコ・ツイキャス・ロリポップ！・モリサワなどはまだ停止中だった
2. 同じ2日間に、Chrome 156（修正353件）・eMudhra証明書（約3万枚）・Oracle Java（9.1）・Node.js（10件）・GitLab（10.0）などの穴が見つかった。原因はそれぞれ別で、「重なった」
3. Amazonは、php2shellを狙った攻撃の試みが公開の4日前の10月17日にあり、今は広く悪用されていると発表。更新に加えて、10月17日からの記録を確かめる

この件は、YouTube「AI時短ラボ」の続報動画「PHPに続きChrome・Java・証明書・GitLabでも穴　パッチ公開から一夜、直した企業は」でも解説しています。

一夜で直した会社と、かかった時間はどのくらいか

各社の公式サイトと公式Xの告知から、止まっていた時間を数えました。時刻は日本時間、10月21日から22日にかけての告知です。

一番短かったシンジェンタジャパンの約50分と、一番長かったBASEの16時間10分では、約19倍の差があります。Studioの公式記事の予定の窓は22時から9時でしたが、実際はそれより早く再開しました。

10月22日9時ごろの確認では、ニコニコ、ツイキャス、ロリポップ！、モリサワは、サイトが503（メンテナンス中）を返す停止中の状態でした。エックスサーバーは、公式Xによると6時45分の時点で、PHP 8.2から8.5の全サーバーへ修正パッチの適用が終わったとしています。ただし、同じ時刻に管理画面と公式サイトは停止中で、「再開した」とは書かれていません。利用中のサーバーは稼働したままでした。さくらインターネットのレンタルサーバは、ページ上の予定は8時ごろでしたが、完了の告知は見つかりませんでした。

戻る速さの違いは、なぜ生まれたのか

戻る速さの違いの理由を、会社が公表している例は見つかっていません。ここからは筆者の見方で、推測です。

• 止まると売上に響くゲームは、早く戻したい事情がありそうです。クラッシュフィーバーはポリゴンを3つ、Shadowverseはカードパックのチケットを1枚、お詫びに配ると告知しています。
• 土台の古さも関係しているかもしれません。UbuntuとDebianは夜のうちに修正を出しており、OSの更新でPHPを入れ替えられる会社は、手間が少なそうです。W3Techsの10月21日の集計では、PHPを使うサイトの27.0%が7系、7.7%が5系で、公式の修正は出ません。レンタルサーバーは何世代ものPHPを抱えています。

「早く戻った会社の技術力が高い」とは言えません。直す対象も、停止の範囲も、会社ごとに違うからです。

前の夜に止めた会社・団体は、192になった

1本目の記事では、公式の告知で確認できた会社・団体を195件と書きました。数え直すと、報道だけで確認したものを除いた、名前の重複のない数は192で、そのうち告知にPHPと明記したものは157です。195は表の行数で、同じ会社が3行重複していました。1本目の記事の数字は、この記事の公開に合わせて直しています。動画の中で画面に並べた一覧は、動画制作時点の84件でした。192のうち、停止に入ったものは全停止151・一部停止32、予告だけのものが9です。

告知の時刻は、13時のさくらインターネットから23時30分の高知大学まで、前日の昼から夜にかけて並んでいます。

PHPに続いて見つかった穴は、何があるか

PHPの翌日にかけての同じ2日間（10月20日から21日）と、今月に広げた分を、公式の原文で確かめられたものだけ並べます。

LiteLLMだけは、脆弱性ではなく、配布された部品そのものが入れ替えられた件です。誰が、どれだけの被害を受けたかは、SafeDepの記事では扱っておらず、この記事でも書きません。

注意点が2つあります。まず、これらは原因がそれぞれ別です。PHPも、Chromeも、eMudhraも、Node.jsも、同じ原因ではなく、「同じ時期に重なった」ものです。次に、OracleのJavaの9.1と、GitLabの10.0は、CVSSの版が3.1で、PHPの9.2（CVSS 4.0）とは物差しの版が違います。数字の大小だけでは比べられません。

攻撃は、公開の4日前から始まっていた

Amazon（AWS）の脅威情報チームは、10月21日にブログで、php2shellを狙った攻撃の試みを、自社の囮のサーバー網（MadPot）で観測した時期を明かしました。AWSの発表によると、次のとおりです。

• 10月17日：公開の4日前に、攻撃の試みが1件あった。身元を隠す商用の通信網のアドレスから来ていた。禁輸期間（エンバーゴ）の最中で、「どうやって攻撃者が公開前に情報を手に入れたかは不明」としている
• 10月21日の世界標準時2時ごろ（日本時間11時）：攻撃コードがいくつか確認され、その最初がこの時刻。6時間後の8時までに、別の身元を隠す通信網から、さらに攻撃の試みがあった。内容がばらばらなことから、複数の攻撃者とみている。実際の環境で成功したかは分からないとしている
• 10月21日の14時（世界標準時）：実際の公開（日本時間23時）。公開後は数時間で攻撃コードが増え、囮のサーバーへほぼすぐ使われた。AWSは「PHP2Shell is now being broadly exploited in the wild（今は実際に広く悪用されている）」と書いている

AWSは、そこから2つの教訓を挙げています。公開日が最初の攻撃の日とは限らず、「compromise may predate the advisory（侵入は公開より前に起きていた可能性がある）」こと。そして、AIを使った分析で、修正や発表から攻撃コードを作るのが安くなり、技術情報が出れば、数時間、ときには数分で動ける攻撃者が増えたことです。調べるなら少なくとも10月17日からと、AWSは呼びかけています。

ほかに、PHP Foundationの公式ブログは、配布業者のChainguardが、取り決めを破って、公開の6時間以上前（10月21日7時41分UTC）に、修正入りの配布物を先に出したと書いています。Cloudflareも、公開より前の時点から攻撃の通信を観測したと書いています。

一方で、どこが侵入されたかの発表は、筆者が調べた範囲では、10月22日昼の時点で出ていません。

守る側のAIと、攻める側のAI

守る側では、OpenAI公式Xの投稿が、AIがこの脆弱性を攻撃者より先に見つけられたと書き、2か月前から連合で修正を準備していたとも書いています。PHP Foundationのブログによると、この穴の元になる問題は8月11日に報告され、セキュリティ会社のCalifとOpenAIが同じ日に別々に報告しました。同じブログは、今年の初めにAnthropicのClaude MythosでPHPを調べたとも書いています。Claude Mythosがこの穴を見つけたとは書かれていません。Califが何を使ったかも、このブログからは分かりません。

攻める側では、Anthropicが2026年9月29日に、Z.aiのGLM-5.3について、攻撃側が使える力の「meaningful step change（意味のある一段の飛躍）」と書いています。同じ文書によると、米政府機関のCAISIは、これまでに公開された中で最も攻撃に強いオープンウェイトのモデルとみており、米国の最先端から約4か月遅れです。また、Microsoft Threat Intelligenceの公式Xは、10月22日3時31分（日本時間）の投稿で、中国の国家とつながる攻撃集団Storm-0940が、AIエージェントの侵入テスト用の道具を使い、世界の何百もの組織への攻撃を自動化したと書いています。これはPHPとは別の件です。

今回のphp2shellの攻撃にAIが使われたかは、確認できていません。AWSが書いているのは、AIを使った分析が攻撃コードを作る費用を下げたという一般的な傾向で、今回の攻撃者がAIを使ったとは書いていません。

修正版にも、別の不具合が見つかった

php-srcの報告（#24488）によると、修正版の8.4.27と8.5.12には、特定の使い方（SimpleXMLElementのプロパティ）でメモリが壊れて落ちる別の不具合が見つかり、ラベルは「Status: Verified（確認済み）」です。8.4.26では起きず、報告者は修正案（#24494）を出しています。外から乗っ取れるという話は、この報告には出ていません。php2shellの修正がすり抜けられたという話でもありません。更新しないままにしておくより、更新した方が安全です。

筆者は、夜に台本を組み、朝に空欄を埋めた

この続報動画の台本は、10月21日の夜、まだ復旧の途中の時点で組み始めました。社数と再開の時刻の欄は空けたままにして、朝に、各社の公式の告知を一つずつ開いて埋めました。

朝9時前後の確認では、ニコニコ、ツイキャス、ロリポップ！、モリサワの4つが503を返していることを、筆者が確かめました。一方、コドモンは、再開の告知が見つからなかっただけで、止まっているとは確かめられなかったため、動画の台詞から外しました。BASEは、筆者の自動記録では6時47分にページが200に戻っていましたが、公式が「完了」と書いたのは8時で、告知は8時26分でした。ページが開くことと、サービスの再開が公式に告げられることには、時間差がありました。この記事の「16時間10分」は、公式の完了の時刻に合わせています。

WordPressなどの利用者が、今やること

1本目の記事に書いたとおり、WordPress本体やプラグインを最新にしても、今回の穴は直りません。穴があるのは、その下で動くPHPだからです。借り方ごとのやることは、1本目の記事のWordPressを使っている人がやることに書いています。この記事で足すのは、次の2点です。

1. 更新する：修正版は 8.5.12・8.4.27・8.3.36・8.2.35。レンタルサーバーなら、会社のお知らせを確認し、管理画面で自分のサイトのPHPの版を見ます。
2. 10月17日からの記録を確かめる：AWSは、侵入は公開より前に起きていた可能性があるとして、調べるなら少なくとも10月17日からと呼びかけています。AWSが挙げる確認の例は、サーバーのログに怪しい動きがないか、Webサーバー上で、心当たりのないプロセスの実行やファイルの変更がないか、です。更新しただけで終わりにせず、更新前の記録も見ます。

確認できていないこと、筆者の見立て

• AWSの観測の範囲：攻撃の試みが成功したかは、AWS自身も分からないとしています。1件の試み（10月17日）から、世の中で何件の侵入があったかは言えません。
• 侵入の被害：どこが侵入されたかの発表は、筆者が調べた範囲では、10月22日昼の時点で出ていません。9時時点の調べでは、watchTowrが「成功した試みは観測していない」としていたことまでは確認できましたが、これは自社のセンサーの範囲の話です。
• 戻る速さの理由：売上、土台の古さ、お詫びの段取りは、すべて筆者の推測です。
• AIの関与：守る側のAIが先に見つけたのはOpenAIの発表に基づく話で、今回の攻撃側がAIを使ったかは確認できていません。
• 「土台ごと替える」という見方：直し続けるより、土台ごと替える時期かもしれないというのは、動画で話した筆者の見方で、公式の発表ではありません。

状況が動いたら更新します。

出典と確認時刻

• PHP公式 GitHub Security Advisory（GHSA-w8hw-w9fx-j79w）、同（GHSA-6wmf-4rv5-p3rp）
• PHP Foundation：Today's PHP security release and how we're strengthening PHP security
• AWS Security Blog：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot（2026年10月22日昼に原文を確認）
• php-src Issue #24488、OpenAI公式Xの投稿、Microsoft Threat Intelligence公式Xの投稿
• 各社の告知：BASE、pixiv、Studio、エックスサーバー
• 同時期の別の穴：Mozilla Bug 2083449（eMudhra）、Node.js、Oracle CVE-2026-91403、GitLab 19.4.2、FoxIO（HTTP/3）、SafeDep（LiteLLM）
• Anthropic：GLM-5.3 and the spread of advanced cyber capabilities

本記事は続報があり次第更新します。