第3シーズン第110回目のポッドキャスト配信：PHP脆弱性騒動は過剰反応？それとも当然の防衛策？：サービスを止めた日本と止めなかったアメリカ｜伊藤穰一

番組は各種ポッドキャストプラットフォームからお聞きいただけます

今回のPodcastの理解度をより深めるための14のキーワード

PHP

Webサイトの裏側でページを組み立てるプログラミング言語。1995年に公開され、あのWordPressもPHP製です。使用言語がわかるサイトの7割以上で使われていて、ボランティアに支えられたオープンソースなんですね。

PHP2Shell

2026年10月21日に公表された、PHPの重大な脆弱性2件の通称です。見つけたのはAIで、10年以上もコードの中に隠れていたそう。PHP 5.4以降のほぼ全バージョンが対象で、同じ系統のバグは2004年にも報告されていました。

Calif

PHP2Shellを見つけたセキュリティ企業の一つで、OpenAIとも組んでいます。リンク先はその解説記事で、AIと一緒にバグを見つけてPHPに報告するまでの経緯が、漫画付きで読めるんです。WordPressなどで実際に攻撃が成立することも示しています。

Cloudflare

Webサイトの手前でトラフィックをふるいにかける米国企業。だからネット全体の攻撃が見えるんですね。PHP2Shellでは公表前の10時間で数千件、公表から2時間で数十万件、その後は数百万件の攻撃の試みを観測したそうです。

エンバーゴ（協調的開示）

脆弱性を見つけても修正の準備ができるまで秘密にしておき、修正と同時に公表する慣行のこと。今回はこの秘密が守られず、情報が予定より早く漏れたため、PHPは公表を1日前倒しすることになりました。

ハニーポット（MadPot）

攻撃者をおびき寄せるために、わざと本物っぽく作った"おとり"のサーバーのこと。AmazonのMadPotは1日1億回超の接続を観測していて、今回はエンバーゴ中の10月17日、公表の4日前に攻撃の試みを捉えていたそうです。

ジェイソン・クリントン

AnthropicのCISO（最高情報セキュリティ責任者）。今週Xで、事態は良くなる前にもっと悪くなると警告し、「AIのためではなく基本のために」約18ヶ月は取締役会に支援を求めるべきだと呼びかけていました。

as bad as things have gotten in the past 4 days, they are going to get a lot worse before they get better. security leaders, never let a crisis go to waste: please go to your boards and ask for help right now. not for ai, for the basics. (we need to hold on for ~18 months.)
— Jason D. Clinton (@JasonDClinton) October 22, 2026