芦田マナガルム

ガルパンおじさん。

[遠藤太一｜医療×AI @endoh_taichi]

今夜23時、PHPに「緊急」の修正が出ます。23時前の今、分かっていることだけを、ITが苦手な人向けに書きます

コドモンが全停止、BASEやさくらのレンタルサーバが緊急メンテ。「PHPの脆弱性」という言葉がトレンドに出ています。

でも「PHPって何？」「自分に関係あるの？」という人がほとんどだと思うので、そこから書きます。

臨床工学技士 × AIエンジニアの僕が、一次情報（PHP公式・CERT-EU）で確認できたことだけを整理します。

※2026年10月21日20時時点。修正版の中身は23時に公開されるので、それまでは「公式が言っていること」と「それ以外」を分けて読んでください。

━━━━━━━━━━

■ そもそもPHPって何？

Webサイトには「表」と「裏」があります。

表＝あなたが見ている画面（文字、画像、ボタン）
裏＝ボタンを押したときに動く仕組み（ログイン、検索、予約、注文）

この「裏」を動かしている言語のひとつがPHPです。

どれくらい使われているかというと、
・WordPress（世界のサイトの4割以上を作っているソフト）はPHPで動いている
・病院やクリニックのホームページの多くはWordPress
・Web問診、予約フォーム、採用サイト、ECサイト（EC-CUBE）、会員サイト
・Wikipedia、Facebookの元の仕組みもPHP

つまりPHPは「世界中のWebサイトの、裏側の共通部品」です。

たとえるなら、建物の「配管」。見えないけど、ほぼ全部の建物に入っていて、そこに欠陥が見つかると、全部の建物が対象になる。

━━━━━━━━━━

■ 今回、何が見つかったのか

PHP公式が10月20日に告知した内容は、これだけです。

・2件の脆弱性（ソフトの設計上の穴）を修正するセキュリティリリースを、日本時間10月21日23時に公開する
・2件とも、深刻度は「CVSS 9.2」
・影響するバージョン、修正版の番号、原因は、23時の公開と同時に発表する
・全員、公開され次第すぐ更新できるよう準備しておいてほしい

CVSSというのは、脆弱性の深刻さを0〜10で採点する国際的な物差しです。9.0以上が最高ランクの「緊急」。今回は2件とも9.2。

EUの緊急対応チーム（CERT-EU）は、外部情報をもとに、
・「ログインしなくても、外からサーバーの中で好きな命令を実行できる」タイプの穴（RCE）の恐れ
・「PHP 5以降、すべてのバージョンに影響する可能性」
と注意喚起しています。ただし、これはPHP本家がまだ確認していない情報です。

RCEをたとえると、「窓から入れる」どころか「家の鍵をもらって住み着ける」レベルの穴です。

━━━━━━━━━━

■ なぜ修正前なのに、こんなに騒ぎになっているのか

普通、脆弱性は「修正版が出るまで黙っておく」のがルールです。今回はそれが崩れました。

10月20日、技術者の掲示板に「PHPに重大な穴が出るらしい」という噂が投稿される（投稿者自身が「証拠はない」と明記）
→ セキュリティ企業が「本物」と確認。本来の公開日は22日だったが、PHPチームが21日に前倒し
→ 研究者が、WordPressなどのテスト環境で「攻撃が成功する動画」をXに投稿

つまり、「穴の場所を知っている人が、世界に複数いる」ことが確定した。でも修正はまだ出ていない。

この状況で、コドモン（保育園の連絡アプリ）やpictSQUAREは「修正が出るまで、サービスごと止める」という判断をしました。普通はやらない、かなり思い切った対応です。

たとえるなら、「この型の金庫、ある手順で開くらしい」と噂が広まり、実際に開けている動画まで出た。メーカーは「今夜、対策部品を配る」と言っている。金庫屋さんの中には「部品が来るまで店を閉める」ところが出てきた。

なお「攻撃に使えるプログラムが公開されたか」は、情報源によって食い違っています。「公開されていない」という企業と、「出回っているとの報告がある」という企業がある。実際の攻撃は、20時時点で確認されていません。

━━━━━━━━━━

■ 一番の問題は「古いPHP」

PHPには「サポート終了（EOL）」のバージョンがあります。8.1以前は、もう修正版が作られていない。

「PHP 5以降すべてに影響」が本当なら、PHP 7で動いている古いサイトには、公式の修正が来ない可能性が高い。

そして、制作会社に作ってもらって何年も触っていない病院のホームページは、PHP 7で動いていることが珍しくない。サイトは普通に表示されるので、誰も気づかない。

たとえるなら、「この型の金庫すべてに欠陥がある」と分かったが、メーカーは「10年前のモデルの部品はもう作っていない」。古い金庫を使っている人は、買い替えるか、倉庫の奥にしまうしかない。

━━━━━━━━━━

■ 23時に何が起きるのか

23時にPHP公式が発表するのは、
・影響を受けるバージョンの一覧
・修正版の番号
・（おそらく）脆弱性の概要

ここから始まるのが「競争」です。

修正版が出ると、「修正前」と「修正後」の差分を見れば、穴の場所が分かる。攻撃する側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。

だから「23時に出たら、すぐ当てる」が大事。「明日の朝でいいか」は、今回は危ない。

━━━━━━━━━━

■ 「15分間の極限攻防」について

この投稿を見た人も多いと思います。

「23時に修正が出た瞬間から、攻撃側との競争が始まる」という構図は、その通りです。修正前と修正後の差分を見れば穴の場所が分かるので、攻撃側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。

ただ「15分」という数字は、僕が一次情報（PHP公式・CERT-EU・セキュリティ各社の分析）を探した範囲では、出所を見つけられませんでした。過去の事例で「公開から数時間で攻撃が観測された」ケースは実際にありますが、今回が何分かは誰にも分からない。

だから結論は同じで、「すぐ当てる」。「15分」が正しいかどうかに関係なく、「明日の朝でいいか」は今回は危ない、ということです。

「Webの約8割」は、サーバー側の言語が分かっているサイトのうちPHPが7〜8割（W3Techs調べ）という統計で、感覚としては合っています。ただし、その大半は「WordPressを使っているだけ」「レンタルサーバーを借りているだけ」の人で、自分で更新作業をする人は一部です。

━━━━━━━━━━

■ あなたは何をすればいいか

【自分でサーバーやWordPressを管理している人】
・PHPで動いているサイトを全部洗い出す（テスト環境、昔のキャンペーンサイト、忘れていたものも）
・各サイトのPHPバージョンを確認する（レンタルサーバーなら管理画面に書いてある）
・バックアップを取る
・23時以降、https://t.co/n8XD4hw1nmの公式発表だけを見て更新する。SNSに流れる「修正版は〇〇」という番号は無視
・更新したら、動作確認して、時刻を記録する

【レンタルサーバーやWix、note、Shopifyなどを「使っているだけ」の人】
事業者が更新します。自分でやることは、事業者のお知らせを確認するだけ。
ただし、レンタルサーバーの管理画面で自分でPHPバージョンを選んでいる場合は、切り替えは自分でやる必要があることが多い。

【すべての人】
「PHPの緊急アップデートはこちら」というメールやSMSのリンクを踏まない。騒ぎに便乗したフィッシングの入口です。

━━━━━━━━━━

■ 病院・クリニックの人へ

病院のホームページ、採用サイト、Web問診、予約フォーム。多くはWordPress＝PHPです。

今夜のうちに、制作会社・管理会社に3つだけ聞いてください。
①「うちのサイトのPHPのバージョンはいくつですか」
②「今回の修正を当てるのは御社ですか、うちですか。いつですか」
③「終わったら連絡をもらえますか」

これだけで「放置されていた」が「把握している」に変わります。

Web問診を使っている病院は特に、「サイトの先に患者情報がある」構造です。

━━━━━━━━━━

■ 臨床工学技士として

医療機器には「回収・改修情報」があります。メーカーから「この機種に欠陥があります、対策部品を配ります」と来て、院内の該当機器を洗い出し、対応し、記録する。

今夜のPHPの修正は、構造がまったく同じです。
通知を読む → 該当するものを洗い出す → 対策を当てる → 古すぎて部品がないものを判断する → 記録する

医療機器の回収対応を日常的にやっている臨床工学技士は、この筋肉をすでに持っています。対象が機器からサーバーに変わっただけ。

まず、できるところから。

23時の公式発表が出たら、影響バージョンと修正版の番号を追記します。詳しい版（用語の早見表・出典URLつき）はnoteに書きました。

━━━━━━━━━━

出典：PHP公式サイト（10月20日告知）／CERT-EU注意喚起／ITmedia NEWS（10月21日）／GIGAZINE（10月21日）／セキュリティ対策Lab（コドモン全停止、10月21日）／pictSQUARE公式X（10月21日）／watchTowr・Cyber Kendra・SecureLayer7（各社の分析）

※本記事は筆者の整理と個人的見解です。脆弱性の技術的な仕組みや攻撃手順には触れていません。影響バージョン・修正版の番号は、23時以降の公式発表で必ず確認してください。

[高市早苗 @takaichi_sanae]

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

[ぽいにくす🐷ウマ娘と見る競馬5周年 @poinuxe_1]

マジで？
アマプラにガルパンのらぶらぶ作戦来てるの？マジすか？

[Yoshi @HIROYOSSI]

#ARKASA　#ASA　#ARKSurvivalAscended

11月末閉鎖予定
閉鎖サーバーPVE

●アベレーション
Asia-PVE-Aberration5739
Asia-PVE-Aberration5794
Asia-PVE-Aberration5816
EU-PVE-Aberration5705
EU-PVE-Aberration5723
EU-PVE-Aberration5726
EU-PVE-Aberration5781
EU-PVE-Aberration5783
EU-PVE-Aberration5805
EU-PVE-Aberration5837
NA-PVE-Aberration5677
NA-PVE-Aberration5682
NA-PVE-Aberration5686
NA-PVE-Aberration5687
NA-PVE-Aberration5691
NA-PVE-Aberration5692
NA-PVE-Aberration5693
NA-PVE-Aberration5695
NA-PVE-Aberration5697
NA-PVE-Aberration5755
NA-PVE-Aberration5756
NA-PVE-Aberration5765
NA-PVE-Aberration5774
NA-PVE-Aberration5803
NA-PVE-Aberration5825
NA-PVE-Aberration5831
OC-PVE-Aberration5733

⚫︎ロストコロニー
Asia-PVE-LostColony6419
EU-PVE-LostColony6325
EU-PVE-LostColony6326
EU-PVE-LostColony6327
EU-PVE-LostColony6329
EU-PVE-LostColony6332
EU-PVE-LostColony6342
EU-PVE-LostColony6343
EU-PVE-LostColony6346
EU-PVE-LostColony6348
EU-PVE-LostColony6350
EU-PVE-LostColony6351
EU-PVE-LostColony6355
EU-PVE-LostColony6356
EU-PVE-LostColony6357
EU-PVE-LostColony6360
EU-PVE-LostColony6361
EU-PVE-LostColony6362
EU-PVE-LostColony6367
EU-PVE-LostColony6370
EU-PVE-LostColony6371
EU-PVE-LostColony6372
EU-PVE-LostColony6376
EU-PVE-LostColony6379
EU-PVE-LostColony6382
EU-PVE-LostColony6383
EU-PVE-LostColony6387
EU-PVE-LostColony6388
EU-PVE-LostColony6390
EU-PVE-LostColony6391
NA-PVE-LostColony6253
NA-PVE-LostColony6257
NA-PVE-LostColony6268
NA-PVE-LostColony6273
NA-PVE-LostColony6278
NA-PVE-LostColony6279
NA-PVE-LostColony6283
NA-PVE-LostColony6286
NA-PVE-LostColony6287
NA-PVE-LostColony6289
NA-PVE-LostColony6291
NA-PVE-LostColony6292
NA-PVE-LostColony6296
NA-PVE-LostColony6304
NA-PVE-LostColony6308
NA-PVE-LostColony6311
NA-PVE-LostColony6314
NA-PVE-LostColony6317
NA-PVE-LostColony6318
NA-PVE-LostColony6321
NA-PVE-LostColony6322
OC-PVE-LostColony6395
OC-PVE-LostColony6396
OC-PVE-LostColony6397
OC-PVE-LostColony6402
OC-PVE-LostColony6403
OC-PVE-LostColony6404
OC-PVE-LostColony6405
OC-PVE-LostColony6407
OC-PVE-LostColony6408
OC-PVE-LostColony6409
OC-PVE-LostColony6410
OC-PVE-LostColony6411
OC-PVE-LostColony6414

⚫︎スコーチドアース
EU-PVE-ScorchedEarth5467
EU-PVE-ScorchedEarth5468
EU-PVE-ScorchedEarth5481
EU-PVE-ScorchedEarth5482
EU-PVE-ScorchedEarth5484
EU-PVE-ScorchedEarth5526
EU-PVE-ScorchedEarth5527
EU-PVE-ScorchedEarth5530
EU-PVE-ScorchedEarth5556
EU-PVE-ScorchedEarth5558
EU-PVE-ScorchedEarth5564
EU-PVE-ScorchedEarth5566
EU-PVE-ScorchedEarth5568
EU-PVE-ScorchedEarth5569
EU-PVE-ScorchedEarth5570
NA-PVE-ScorchedEarth5144
NA-PVE-ScorchedEarth5380
NA-PVE-ScorchedEarth5383
NA-PVE-ScorchedEarth5389
NA-PVE-ScorchedEarth5390
NA-PVE-ScorchedEarth5393
NA-PVE-ScorchedEarth5510
NA-PVE-ScorchedEarth5511
NA-PVE-ScorchedEarth5515
NA-PVE-ScorchedEarth5544
NA-PVE-ScorchedEarth5545
NA-PVE-ScorchedEarth5546
NA-PVE-ScorchedEarth5578

⚫︎センター
EU-PVE-TheCenter5593
EU-PVE-TheCenter5597
EU-PVE-TheCenter5670
NA-PVE-TheCenter5617

⚫︎アイランド
EU-PVE-TheIsland5204
EU-PVE-TheIsland5291
NA-PVE-TheIsland5285
NA-PVE-TheIsland5302

※漏れがあったらごめんなさい🙇‍♀️

[NAGOMIGAMES @NAGOMI__GAMES]

Ark asa 公式PVP鯖が11月30日にこんだけ消されるらしい…
莫大な時間を費やして築き上げてきた拠点もあるだろうに😰
知り合いにはこれを機に引退するって方も居て残念過ぎる…今こそ元気だせARK民よ！頑張って引っ越そう！こんな理不尽今までも散々経験したじゃないか！負けるな！PVP民よ命を燃やせ！

[たくや∞ @takuya_irie]

⚠️至急確認されたし！⚠️

　閉鎖サーバー決定

　日本時間11月30日に閉鎖予定

以下サーバー。PVEのみ記載してます

Asia
• Asia-PVE-Aberration5739
• Asia-PVE-Aberration5794
• Asia-PVE-Aberration5816
• Asia-PVE-LostColony6419
EU
• EU-PVE-Aberration5705
• EU-PVE-Aberration5723
• EU-PVE-Aberration5726
• EU-PVE-Aberration5781
• EU-PVE-Aberration5783
• EU-PVE-Aberration5805
• EU-PVE-Aberration5837
• EU-PVE-LostColony6325
• EU-PVE-LostColony6326
• EU-PVE-LostColony6327
• EU-PVE-LostColony6329
• EU-PVE-LostColony6332
• EU-PVE-LostColony6342
• EU-PVE-LostColony6343
• EU-PVE-LostColony6346
• EU-PVE-LostColony6348
• EU-PVE-LostColony6350
• EU-PVE-LostColony6351
• EU-PVE-LostColony6355
• EU-PVE-LostColony6356
• EU-PVE-LostColony6357
• EU-PVE-LostColony6360
• EU-PVE-LostColony6361
• EU-PVE-LostColony6362
• EU-PVE-LostColony6367
• EU-PVE-LostColony6370
• EU-PVE-LostColony6371
• EU-PVE-LostColony6372
• EU-PVE-LostColony6376
• EU-PVE-LostColony6379
• EU-PVE-LostColony6382
• EU-PVE-LostColony6383
• EU-PVE-LostColony6387
• EU-PVE-LostColony6388
• EU-PVE-LostColony6390
• EU-PVE-LostColony6391
• EU-PVE-Modded-ArkOmega122
• EU-PVE-Modded-ArkSupreme194
• EU-PVE-Modded-Atlantis152
• EU-PVE-Modded-EnclaveSurvival130
• EU-PVE-Modded-LostCity179
• EU-PVE-Modded-LostProtocol183
• EU-PVE-Modded-Nyrandil149
• EU-PVE-Modded-Reverence113
• EU-PVE-Modded-Svartalfheim111
• EU-PVE-Modded-Tharat163
• EU-PVE-Modded-TheVolcano175
• EU-PVE-ScorchedEarth5467
• EU-PVE-ScorchedEarth5468
• EU-PVE-ScorchedEarth5481
• EU-PVE-ScorchedEarth5482
• EU-PVE-ScorchedEarth5484
• EU-PVE-ScorchedEarth5526
• EU-PVE-ScorchedEarth5527
• EU-PVE-ScorchedEarth5530
• EU-PVE-ScorchedEarth5556
• EU-PVE-ScorchedEarth5558
• EU-PVE-ScorchedEarth5564
• EU-PVE-ScorchedEarth5566
• EU-PVE-ScorchedEarth5568
• EU-PVE-ScorchedEarth5569
• EU-PVE-ScorchedEarth5570
• EU-PVE-TheCenter5593
• EU-PVE-TheCenter5597
• EU-PVE-TheCenter5670
• EU-PVE-TheIsland5204
• EU-PVE-TheIsland5291
NA
• NA-PVE-Aberration5677
• NA-PVE-Aberration5682
• NA-PVE-Aberration5686
• NA-PVE-Aberration5687
• NA-PVE-Aberration5691
• NA-PVE-Aberration5692
• NA-PVE-Aberration5693
• NA-PVE-Aberration5695
• NA-PVE-Aberration5697
• NA-PVE-Aberration5755
• NA-PVE-Aberration5756
• NA-PVE-Aberration5765
• NA-PVE-Aberration5774
• NA-PVE-Aberration5803
• NA-PVE-Aberration5825
• NA-PVE-Aberration5831
• NA-PVE-LostColony6253
• NA-PVE-LostColony6257
• NA-PVE-LostColony6268
• NA-PVE-LostColony6273
• NA-PVE-LostColony6278
• NA-PVE-LostColony6279
• NA-PVE-LostColony6283
• NA-PVE-LostColony6286
• NA-PVE-LostColony6287
• NA-PVE-LostColony6289
• NA-PVE-LostColony6291
• NA-PVE-LostColony6292
• NA-PVE-LostColony6296
• NA-PVE-LostColony6304
• NA-PVE-LostColony6308
• NA-PVE-LostColony6311
• NA-PVE-LostColony6314
• NA-PVE-LostColony6317
• NA-PVE-LostColony6318
• NA-PVE-LostColony6321
• NA-PVE-LostColony6322
• NA-PVE-Modded-ArkOmega120
• NA-PVE-Modded-Atlantis150
• NA-PVE-Modded-Eden167
• NA-PVE-Modded-EnclaveSurvival128
• NA-PVE-Modded-LostProtocol185
• NA-PVE-Modded-Nyrandil147
• NA-PVE-Modded-PrimalNemesis142
• NA-PVE-Modded-SurviveTheNight114
• NA-PVE-Modded-Tharat165
• NA-PVE-ScorchedEarth5144
• NA-PVE-ScorchedEarth5380
• NA-PVE-ScorchedEarth5383
• NA-PVE-ScorchedEarth5389
• NA-PVE-ScorchedEarth5390
• NA-PVE-ScorchedEarth5393
• NA-PVE-ScorchedEarth5510
• NA-PVE-ScorchedEarth5511
• NA-PVE-ScorchedEarth5515
• NA-PVE-ScorchedEarth5544
• NA-PVE-ScorchedEarth5545
• NA-PVE-ScorchedEarth5546
• NA-PVE-ScorchedEarth5578
• NA-PVE-TheCenter5617
• NA-PVE-TheIsland5285
• NA-PVE-TheIsland5302

コメント欄へ続く

#ARK #ASA

[芦田マナガルム @AshidaManagarmr]

しばらくDBDやってなかったけど、こんなのになったんですか？

[Lyra @waseem_ans8339]

This Police Dog In Training Saluted Better Than The Officer Herself

[驚安の殿堂 ドン・キホーテ🐧 @donki_donki]

ミックスナッツ1年分あげます

[Keyfi Paylaşımlar @keyfipyIasimIar]

Hepinizin böyle bir arkadaşı vardır 😅

[ライブドアニュース @livedoornews]

【訃報】野球解説者の張本勲さんが死去 86歳 プロ野球で通算最多の3085本安打
https://t.co/ryeY3tPXHy

[かめちやん（SUZUKIＧＳXーＳ125） @7iS6LcTblto5xi2]

いちゅも僕ばっかり怒るから💢💢💢
こんどは僕からお父さん(´・ω・｀)に
おしおきタイムｷﾀ━(ﾟ∀ﾟ)━!‼️‼️‼️

[芦田マナガルム @AshidaManagarmr]

@sasukoimama 大丈夫じゃないので、病院に連れてってください。

[アメチャン @ame__xc]

サムネがいい

https://t.co/hLVRKTDKXR

[芦田マナガルム @AshidaManagarmr]

ASA PVE ジェネシス
カルキノスをテイムしに月面洞窟を目指すも場所が分からず断念
ネットの座標情報もデタラメだしどうなってんだ🤬

[NEXTA @nexta_tv]

🐦‍⬛ This bird could become the next social media star!

A crow effortlessly solved a logic puzzle.

[電ファミニコゲーマー @denfaminicogame]

TVアニメ『ボボボーボ・ボーボボ』YouTubeで全76話の無料配信が決定！第1話を7月23日20時よりプレミア公開。ただしつけもの テメーはダメだ
https://t.co/RR9VQ1T7Uf

最強ジャンプチャンネルにて毎週木・金曜20時に2話ずつ、各話2週間限定配信。毎週やってくるハジケに身体が耐えられるか

[芦田マナガルム @AshidaManagarmr]

ASA ジェネシス
釣りミッションしようとしたら、コマンド指示の文字がデカすぎて草

画面からはみ出てんじゃねーかw

見切れてる文字で判断したけども

[atmos @atmos_tokyo]

PROJECT A x atmos

1983年公開、香港三大スター集結の伝説的アクション映画とのコラボアパレルが登場！

【販売詳細】
EC受注販売期間：7月1日 16:00 ～ 7月20日(月) 23:59
お届け日：9月上旬から順次発PROJECT A x atmos

1983年公開、香港三大スター集結の伝説的アクション映画とのコラボアパレルが登場！

【販売詳細】
EC受注販売期間：7月1日 16:00 ～ 7月20日(月) 23:59
お届け日：9月上旬から順次発PROJECT A x atmos

1983年公開、香港三大スター集結の伝説的アクション映画とのコラボアパレルが登場！

【販売詳細】
EC受注販売期間：7月1日 16:00 ～ 7月20日(月) 23:59
お届け日：9月上旬から順次発PROJECT A x atmos

1983年公開、香港三大スター集結の伝説的アクション映画とのコラボアパレルが登場！

【販売詳細】
EC受注販売期間：7月1日 16:00 ～ 7月20日(月) 23:59
お届け日：9月上旬から順次発送