PHPの脆弱性のニュースが騒がれています！建築とは関係ないお話しですが、気になったのでブログにしてみました。

そもそもPHPって何？
PHP（ピー・エイチ・ピー）は、Webサイトの裏側で動くプログラミング言語の一つです。
例えば、こんな機能を作るときに使われているそうです。
・ログインすると、自分のアカウントが表示される
・ネットショップで商品を購入する
・コメントや投稿を保存する
・会員登録した人の情報を管理する
多くのWebサービスを動かす、普通の便利な技術。

今回、何が起きたの？
2026年10月21日に、PHPの中に2つの重大な弱点（脆弱性）が修正されました。
どちらも、悪用されると攻撃者がサーバー上で勝手にプログラムを動かせる可能性があるもの。
弱点①：コンピューターの記憶領域が足りなくなったときの問題
コンピューターが作業に使う「メモリ」が不足すると、PHPの内部処理が中途半端な状態になることがある。その後の処理が、
その不完全なデータを正しいものだと勘違いしてしまう問題。

弱点②：使い終わったメモリの情報が残ってしまう問題
PHPが作業を終えてメモリを解放したのに、古い情報を参照する状態が残ることがある。
次の作業でその情報を誤って使うと、攻撃につながる可能性がある。

大事なのは、PHPの内部処理にミスがあり、外部から送られたデータをきっかけに悪用される可能性があるということだそうです。

悪用されると何が起きるの？
イメージとしては、学校のパソコン室で、決められた操作しかできないはずの人が、
システムの弱点を利用して管理者のように操作できてしまうようなもの。
実際に危険なのは、例えば次のようなこと。
Webサイトの内容を勝手に書き換えられる
サーバー内のデータを盗まれる可能性がある
不正なプログラムを動かされる可能性がある
サービスが停止したり、別の攻撃の足がかりにされたりする

発見から今日までの流れ
今回の問題は、弱点が見つかってから修正版が出るまで、情報が予定より早く広まったことが重要。
10月20日火曜日
弱点の情報が外部に漏れる
セキュリティ研究者の間で、PHPに重大な弱点が2つあるという情報が公になります。本来は修正準備が整うまで公表を控える予定だった情報が、先に広がったと報じられました。
10月20日同日夜
PHP開発チームが緊急告知
重大な問題が2件あると発表。危険度はCVSS v4.0でそれぞれ9.2点（最大10点）とされ、翌21日に修正版を公開する予定を案内しました。
10月21日水曜日
修正版が公開される
PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されます。日本時間では21日夜にあたり、開発チームは利用者にすぐ更新するよう強く呼びかけ。

各国で対応 政府機関やセキュリティ組織も警告
欧州のサイバーセキュリティ関連機関などが、PHPを使っているシステムを調べ、修正版を適用するよう呼びかけ。

10月22日木曜日
修正版の適用と影響確認が続く
国内外でニュースとして報じられ、サイト運営者やサーバー会社に対して、更新と安全確認が求められています。
すべてのサイトの更新が終わったことを意味するわけではありません。

このニュースからわかること
今回の流れを一言でいうと、重大な弱点の情報が先に広まり、PHPの開発チームが予定を前倒しして緊急対応したということ。
プログラミングでは、どんなに多くの人が使っているソフトでも、予想外の不具合が見つかることがある。
だから、弱点を発見することだけでなく、情報を適切に共有して、素早く修正することも大切なんだ。
なお、今日までにすべてのサーバーが更新されたか、攻撃による被害がどこまで発生したかは、今回確認した公開情報だけでは確定できないようです。