水曜日、欧州各地の政府サイトが停止した。各組織がPHPに存在する重大なセキュリティ欠陥からシステムを守ろうと対応に追われたためだ。
ロイターによると、オランダの政府機関などは10月21日に公共サービスを一時停止したほか、欧州の他の地域でも学校や病院がサイトをオフラインにした。こうした予防措置としての停止は、2つのPHP脆弱性により、攻撃者が認証なしで影響を受けたサーバー上で悪意あるコードを実行できる可能性があるとの警告を受けたものだ。
現在は緊急パッチが提供されているが、今回の混乱は、サイバー攻撃の成功が確認される前であっても、ソフトウェアの脆弱性によって不可欠なサービスが中断され得ることを示している。
予防措置としてオランダ政府のサービスがオフラインに
オランダ政府は 確認したところによると、Overheid.nl、MijnOverheid.nl、DigiDなど複数の公共サービスが10月21日に一時オフラインになった。
発表時点で、実際に悪用されたことを示す兆候はなかったという。当局は、管理者がセキュリティ更新を待つ間に侵害のリスクを抑えるため、サイトを停止した。
すべての政府サイトが影響を受けたわけではない。当局によると、Rijksoverheid.nlなどオランダ政府の多くのサイトはPHPを使用しておらず、今回の特定の脆弱性にはさらされていなかった。
オランダの国家サイバーセキュリティーセンター（NCSC）も、自らのサイトを一時オフラインにした。同センターは 公式通知で、アクセスの復旧に取り組む間、組織に対して代替のアドバイザリーチャネルを利用するよう指示した。
ロイターは、欧州の他の地域でも政府、教育、医療関連サイトが同様の予防措置として停止されたと報じた。
欧州連合（EU）のサイバーセキュリティー対応チームである CERT-EUは、直ちに修正を適用できない組織に対し、影響を受けたインターネット公開アプリケーションを公衆ネットワークから隔離することを検討するよう助言していた。
したがって、今回の停止は必ずしも攻撃が成功した証拠ではない。脆弱なシステムを保護できるまで、管理者が露出を抑えるために下した判断を反映したものだ。
広範な混乱を受けて緊急パッチをリリース
今回の緊急対応は、2つの重大なPHP脆弱性、CVE-2026-109618とCVE-2026-109619が公開されたことを受けたものだ。いずれもCVSS v4.0で9.2と評価されている。
この欠陥により、特定の条件下では認証されていない攻撃者がリモートでコードを実行でき、脆弱なサーバー上で悪意あるコマンドを実行される可能性がある。
eSecurity Planetは以前、 重大なPHP脆弱性と緊急パッチ適用の警告について報じた。今回の最新の動きは、組織が脅威に対応したことで混乱が生じたことだ。
10月21日、 PHP開発チームは8.5.12、8.4.27、8.3.36、8.2.35の各バージョンで修正をリリースした。
同プロジェクトは管理者に直ちに更新するよう求め、Apacheのmod_php、PHP-FPM、php-cgiなど複数の構成で、Webリクエストを処理するインストールが影響を受ける可能性があると警告した。
サポート対象外のPHPバージョンを運用している組織は、さらに難しい対応を迫られる。一部のOSベンダーや長期サポートベンダーがバックポート版の修正を提供する可能性はあるが、管理者は自社のインストールが対象になるか確認しなければならない。
パッチが提供されたことで、影響を受けた組織はサービス復旧に向けた道筋を得た。ただし、更新を適用したからといって、システムを安全にオンラインへ戻せることが自動的に確認されるわけではない。特に、修正前に不審な活動があったと管理者が疑っている場合はなおさらだ。
初期攻撃の報告が緊迫感を高める
予定されていたセキュリティリリースに先立って脆弱性に関する情報が公に広まったことで、懸念は一段と高まった。
ロイターによると、Cloudflareはこの欠陥を標的とした初期の攻撃活動を観測した。一方、オーストラリアのサイバーセキュリティー機関は、当時、実際の悪用を把握していないと述べた。
これらの声明は異なる観測結果を示すものであり、広範囲にわたる侵害の成功を立証するものではない。
オランダ政府も、予防措置としてサイトを停止したと発表した時点で、実際に悪用された兆候はないと報告した。
それでも、攻撃者が露出したシステムを標的にする可能性は、一般公開サービスを利用可能な状態に保つ責任を負う組織に、直ちに運用上の問題をもたらした。
英国の 国家サイバーセキュリティーセンターは、PHPのインストール状況を確認し、インターネットに公開されたシステムで悪意ある活動がないか監視するとともに、できるだけ早く更新を適用するよう組織に助言した。直ちに修正できない場合は、影響を受けたシステムをオフラインにすることを検討するよう推奨した。
サービス復旧にはパッチのインストール以上の対応が必要
緊急修正が利用可能になった今、影響を受けた組織は、システムをいつ安全に通常運用へ戻せるか判断しなければならない。
セキュリティーチームは、サードパーティー製アプリケーションに組み込まれたものや外部プロバイダーが保守するものを含め、関連するPHPのインストールに更新が適用されたことを確認すべきだ。
また、利用可能なサーバーログを調べて不審な活動がないか確認し、影響を受けたサービスを復旧する前に、侵害の兆候を調査すべきである。
侵害が疑われる場合、eSecurity Planetの インシデント対応ガイドは、封じ込め、調査、復旧、インシデント後のレビューが重要だと説明している。
今回の混乱は、組織が直接管理していないシステム全体で、緊急の変更をどれだけ迅速に調整できるかという問題も浮き彫りにした。
政府サービスや業務アプリケーションは、更新の展開をホスティングプロバイダー、ソフトウェアベンダー、外部ITチームに依存している可能性がある。修正が利用可能になった後も、こうした依存関係が復旧を複雑にすることがある。
不可欠なオンラインサービスを運用する組織にとって、各コンポーネントを誰が保守しているかを把握することは、どのシステムが脆弱かを知ることと同じくらい重要だ。
予防措置としての停止が公共サービスに難しいトレードオフをもたらす理由
脆弱なサイトをオフラインにすれば悪用のリスクを抑えられるが、別の問題も生じる。人々が不可欠なオンラインサービスに一時的にアクセスできなくなる可能性があるのだ。
Overheid.nl、MijnOverheid.nl、DigiDなどのサービスへのアクセスを停止したオランダ政府の判断は、そのトレードオフを示している。これらのプラットフォームは住民と政府機関のやり取りを支えているため、予防措置による停止であっても、日常的な行政手続きに支障をきたす可能性がある。
政府のITチームにとって、この判断は相反する2つの優先事項のバランスを取ることを意味する。機密システムを潜在的な侵害から守ることと、国民が依存するサービスへのアクセスを維持することだ。
影響は政府機関にとどまらない可能性がある。公共部門の認証システム、オンラインポータル、サードパーティー連携に依存する企業も、こうしたサービスが利用できなくなれば混乱に見舞われることがある。
今回の事案は、事業継続に関する3つの重要な問いを投げかけている。
- サービスの優先順位付け：一般公開アプリケーションのうち、稼働を維持しなければならないものはどれか。一時停止できるものはどれか。
- 代替アクセス：障害発生中、住民や企業は別のチャネルを通じて不可欠な手続きを完了できるか。
- 復旧の調整：システムが安全であることを確認し、さらなるリスクを招くことなくアクセスを復旧するまでに、機関はどれほどの時間を要するか。
今回のPHP停止は、脆弱性への緊急対応計画で、技術的な修正と並んでサービスの可用性も考慮しなければならない理由を示している。サイバー攻撃の成功が確認されていない場合でも、それを防ぐために必要な予防措置は、重大な運用上の影響をもたらす可能性がある。
政府サイトの停止がセキュリティーの備えについて明らかにしたこと
今回のPHP事案は、広く使われているソフトウェアの重大な脆弱性が、侵害の確認なしにサービスの可用性の問題へ発展し得ることを示している。
サイトをオフラインにすれば悪用を防げる可能性がある一方、政府サービス、医療情報、その他人々が依存するリソースへのアクセスを中断させることにもなる。
脆弱性が顧客ポータル、決済システム、社内アプリケーションに影響を及ぼす場合、企業も同様の判断を迫られる。
当面の優先事項は、影響を受けたシステムを保護し、安全にサービスを復旧することだ。長期的な教訓は、正確なソフトウェア台帳、明確なパッチ適用の責任分担、そして遅滞なく起動できる復旧手順が必要だということである。
こうした能力は、効果的な ネットワークセキュリティーの実践の中核をなす。特に、組織がサードパーティー製ソフトウェアやインフラに依存している場合はなおさらだ。
セキュリティー責任者にとって、問題はPHPのインストールにパッチを適用したかどうかにとどまらない。どの重要サービスが脆弱なコンポーネントに依存しているのか、誰がその保護に責任を負うのか、そして次の緊急事態が発生したときに、そうしたサービスをどれほど迅速に復旧できるのかを把握しているかが問われている。
その他のニュース：MetaはMuseのAIチャット共有機能を停止したのはセキュリティー研究者がパッシブDNSレコードを通じて6,800件を超える会話リンクを発見したためだ。