【浜田聡】「PHP」の脆弱性についてトンデモない事実が判明しました【高市早苗 切り抜き】【天の声と時事問題CH】

▶ https://www.youtube.com/watch?v=7qeDzTQT0Kw

動画の概要

日本自由党の浜田聡氏が、PHPの重大な脆弱性と高市早苗総理によるXでの異例の注意喚起を取り上げた動画です。前半は浜田氏が報道をもとに各地の被害状況を紹介し、後半は「誰が悪いか」ではなく「止まった時に何を出せるか」という視点で、政府の注意喚起のあり方や組織が取るべき備えを提言しています。

主なポイント

1. 何が起きたのか

• PHPに重大な脆弱性が2件。1件目はメモリ不足エラーの扱いの不備、2件目はリクエストをまたいでグローバルな状態がリセットされない問題
• 深刻度はいずれもCVSS 9.2（緊急）。認証不要で、ログインしていない第三者が外部から任意のコードを実行できる可能性がある
• 修正版の公開は当初10月22日予定だったが、10月20日に詳細が漏れたため日本時間10月21日午後11時に繰り上げ。サポート切れの系列にもバックポート版が提供された

2. 高市総理のX投稿と各地の影響

• 高市総理は「今夜10月21日午後11時に公開される修正パッチを速やかに適用できるよう準備を」「困難ならサイトの一時停止も有効策」と投稿し、8000万ビューを突破
• 浜田氏は「デジタル庁などが発信しても無視されがちな情報を、総理が多くの人が使うXで発信した効果は大きい」と評価
• 京都工芸繊維大学：総合型選抜の合格発表ページを停止し、受験番号をXで公開
• 新宿の呼吸器内科クリニック：Web予約を停止し電話のみに。「回線は1本、人手が回らず修正を適用できていない」
• お薬手帳プラス（登録者200万人超）、北海道銀行アプリ、越谷市の電子クーポン、滑川町の問い合わせフォーム、JAみっかびの情報配信なども停止
• 浜田氏が総裁を務める日本自由党でも、党員向けメルマガが配信できない事態に

3. 注意喚起は「時刻」と「止めてよい基準」が効いた

• 通常の注意喚起は「速やかに」で終わるが、時刻が書かれていれば作業枠や担当者の手配に落とし込める
• 「直せないなら止めてよい」という国のお墨付きが、現場が上司に説明する根拠になった
• 期限は防御側ではなく情報漏えいにより攻撃側に押し付けられた時刻。必要なのは「パッチを待つ力」より「パッチ前に止める力」
• 提案：組織ごとに「CVSS 9以上・認証不要ならパッチを待たず公開停止」などの数値基準を決めておく

4. 「世界の約7割」の読み方と放置された穴

• W3Techsの統計では、サーバー側言語が判明しているサイトのうち69.3%がPHP。全サイトの7割ではない
• 言語が分からないサイトこそ、制作業者不在・担当者退職などで放置されている可能性が高い
• メモリ不足の問題は2024年の外部監査で浮上していたが修正されず、2026年夏に複数組織が同時に報告してようやく動いた
• オープンソースの弱点は「見つける人」ではなく「直す人（資金）」の不足。政府・自治体が使用量に応じて保守団体を支援すべきと提案

5. 止めた瞬間に直せなくなる構造

• システムを止めると問い合わせ電話が殺到し、人手を取られて修正作業が止まる。小さな組織ほどこの罠にはまる
• 「止める係」と「直す係」を事前に分ける。一人事業者なら停止後は電話を自動応答に切り替える

6. 今すぐできる5つの対策

• 自分のサイトのPHPバージョンを確認する（レンタルサーバーなら管理画面で確認可能）
• 修正済みバージョンへ更新し、古い系列ならサーバー会社がバックポート版を適用しているか確認する
• 古いキャンペーンサイトやサブドメインの実験サイトなど、管理していないサイトを洗い出す
• WordPress利用者も対象。不要なプラグイン・テーマを削除し、PHPを更新する
• 合格発表など落ちてはいけない情報は、静的HTMLやPDFで出せる別経路を用意しておく

まとめ・結論

総理がXで呼びかけたこと自体は評価できる一方、総理の投稿が必要だったという事実は、2025年7月に発足した国家サイバー統括室などの平常の連絡経路が現場に届いていないことの裏返しでもあります。「総理が言わないと動かない体制は、総理が言わない時に動かない体制」。問題はXで合格発表をしたことではなく、PHPが止まると何も出せない作りにしていたことです。止める判断と直す作業を分けておくこと――それが今回の一番の教訓だと動画は締めくくっています。

▶ 元動画を視聴する（天の声と時事問題CH）