# 第3シーズン第110回目のポッドキャスト配信：PHP脆弱性騒動は過剰反応？それとも当然の防衛策？：サービスを止めた日本と止めなかったアメリカ｜伊藤穰一

- Date: 2026-10-24T04:00:00Z



## 番組は各種ポッドキャストプラットフォームからお聞きいただけます

* [Apple Podcast](https://joiurl.net/4jEAPme)
* [Spotify](https://joiurl.net/4smFR8Z)
* [YouTube](https://youtu.be/RC80OcbUqPc)
* [Blog](https://joiurl.net/3WJcz8Q)

## 今回のPodcastの理解度をより深めるための14のキーワード


### [PHP](https://www.php.net/)
Webサイトの裏側でページを組み立てるプログラミング言語。1995年に公開され、あのWordPressもPHP製です。使用言語がわかるサイトの7割以上で使われていて、ボランティアに支えられたオープンソースなんですね。

### [PHP2Shell](https://www.wiz.io/blog/php2shell-php-rce)
2026年10月21日に公表された、PHPの重大な脆弱性2件の通称です。見つけたのはAIで、10年以上もコードの中に隠れていたそう。PHP 5.4以降のほぼ全バージョンが対象で、同じ系統のバグは2004年にも報告されていました。

### [Calif](https://calif.io/php2shell/)
PHP2Shellを見つけたセキュリティ企業の一つで、OpenAIとも組んでいます。リンク先はその解説記事で、AIと一緒にバグを見つけてPHPに報告するまでの経緯が、漫画付きで読めるんです。WordPressなどで実際に攻撃が成立することも示しています。

### [Cloudflare](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/)
Webサイトの手前でトラフィックをふるいにかける米国企業。だからネット全体の攻撃が見えるんですね。PHP2Shellでは公表前の10時間で数千件、公表から2時間で数十万件、その後は数百万件の攻撃の試みを観測したそうです。

### エンバーゴ（協調的開示）
脆弱性を見つけても修正の準備ができるまで秘密にしておき、修正と同時に公表する慣行のこと。今回はこの秘密が守られず、情報が予定より早く漏れたため、PHPは公表を1日前倒しすることになりました。

### [ハニーポット（MadPot）](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/)
攻撃者をおびき寄せるために、わざと本物っぽく作った"おとり"のサーバーのこと。AmazonのMadPotは1日1億回超の接続を観測していて、今回はエンバーゴ中の10月17日、公表の4日前に攻撃の試みを捉えていたそうです。

### [ジェイソン・クリントン](https://x.com/JasonDClinton/status/2113325263157395456)
AnthropicのCISO（最高情報セキュリティ責任者）。今週Xで、事態は良くなる前にもっと悪くなると警告し、「AIのためではなく基本のために」約18ヶ月は取締役会に支援を求めるべきだと呼びかけていました。
as bad as things have gotten in the past 4 days, they are going to get a lot worse before they get better. security leaders, never let a crisis go to waste: please go to your boards and ask for help right now. not for ai, for the basics. (we need to hold on for ~18 months.)— Jason D. Clinton  (@JasonDClinton) October 22, 2026


### [eMudhra](https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business)
インド・ベンガルールの認証局（Webサイトの電子証明書を発行する機関）。本来は116桁ほどの乱数であるべき秘密鍵が、なんと「4」のような1バイトの値だったことが発覚。同社はグローバルSSL/TLS事業からの撤退を決めました。

### [DeepSeek](https://www.deepseek.com/)
中国・杭州のAI企業。2023年にファンドの幻方（High-Flyer）から生まれ、低コストで高性能なモデルで世界を驚かせました。ロイターによると、CATLやテンセントなどから約1000億元（約150億ドル）の調達を最終調整中です。

### [梁文鋒（リャン・ウェンフォン）](https://technode.com/2026/07/15/deepseek-founder-liang-wenfengs-fortune-rises-to-36-billion/)
DeepSeekの創業者（1985年生まれ）。ブルームバーグによると資産は約360億ドル（約5兆7000億円）で、Anthropicのダリオ・アモデイ氏やOpenAIのグレッグ・ブロックマン氏を上回り、AIモデル企業の創業者で最も裕福になったそうです。

### 蒸留（ディスティレーション）
高性能なAIの出力を"お手本"にして、別のAIを学習させる手法のこと。2026年にはOpenAIやAnthropicが、DeepSeekなど中国のAI企業がこの手法で自社モデルの能力を不正に取り込んだと指摘しています。

### [Oura Ring](https://ouraring.com/)
フィンランド発の指輪型ウェアラブルで、睡眠や心拍、体温などを計測できます。2023年には本人認証技術を持つProxyを買収し、決済や認証への展開も見据えているようです。ちなみにJoiさんは株主なんだとか。

### 住基ネット
住民基本台帳ネットワークの略で、2002年に稼働した全国の住民票情報をつなぐシステムです。Joiさんは長野県の侵入調査の評価に関わり、2003年には自治体のセキュリティが「平均以下」だと警鐘を鳴らしていました。

### [ブレインフライ（AI Brain Fry）](https://www.bcg.com/news/5march2026-when-using-ai-leads-brain-fry)
AIツールの使いすぎや、複数のAIエージェントの監督で起きる頭の疲れのこと。BCGなどの研究者が2026年3月にHBRで発表した調査では、AI利用者の14％が経験し、ミスや離職意向の増加につながるとしています。





---

#### Categories

Podcasts