目次
■ 3行でわかる
① 世界のWebサイトの約7割で使われるPHPに、CVSSスコア9.2の「クリティカル」級の脆弱性が2件見つかり、WordPressを含むほぼ全バージョンが影響を受けるおそれがあると堀江貴文氏が緊急解説した。
② 悪用されると遠隔から管理者（root）権限を奪われ、データ削除・窃取やダークウェブでの売買、踏み台攻撃に使われ、家宅捜索や賠償責任を問われる可能性まであるという。
③ 日本時間23時（UTC14時）に公開されるパッチを速やかに適用し、自力で難しければ専門業者に相談、あわせて二段階認証やパスキーを導入するよう呼びかけている。
動画の概要
ホリエモンこと堀江貴文氏が、サーバーサイド言語「PHP」で見つかった致命的な脆弱性2件について緊急で解説した約8分の動画。特にレンタルサーバーにPHPを導入してWebサイトやWordPressを運営している組織に向けて、パッチ適用とセキュリティ対策を急ぐよう訴えている。
主なポイント
1. 見つかった脆弱性の深刻度
- PHPは世界のWebサイトの約7割で使われているとされるサーバーサイド言語
- 深刻度の指標CVSSで9.2と、9以上の「クリティカル」に分類
- メモリを破壊するタイプのバグとみられるが、詳細はまだ未発表
- WordPressなどのCMSも、最新版を含めほとんどのバージョンが影響を受けるおそれ
2. 悪用された場合のリスク
- 遠隔からサーバーに侵入され、全権限を持つスーパーユーザー（root）で操作される
- 全データの削除や外部への持ち出しが可能になる
- ハッシュ化されたパスワードや住所・電話番号などがダークウェブでビットコイン取引される
- 踏み台攻撃の拠点にされると、警察の家宅捜索や賠償責任を問われる可能性もある
- 堀江氏は「空き家を放置して犯罪拠点にされるようなもの」とたとえている
3. 今すぐやるべき対応
- PHPセキュリティチームは日本時間23時（UTC14時）にパッチを公開予定
- パッチ公開と同時にソースコードから脆弱性の中身が悪意ある人にも知れ渡るため、速やかに適用する
- 社内に技術者がいない場合は、セキュリティ会社などに緊急で問い合わせる
- 自分でPHPを触る権限のないクラウドサービス利用者は、運営業者が対応するため心配は不要
4. 広がる侵入被害とアカウント防御
- AIを使った脆弱性探索で、古いパッチを当てていない業者への侵入が相次いでいる
- 堀江氏の無料ニュースレターの配信サービスも現在停止中（原因は未発表）
- 証券口座・銀行口座・ポイント・暗号資産などは直接盗まれる危険が高い
- 二段階認証（Google Authenticatorなど）やパスキー、物理キーの導入を推奨
まとめ・結論
PHPやWordPressで自社サイトを運営しているなら、今回のパッチは「様子見」ではなく即時適用が必須。サーバー側の対策に加え、利用者としても二段階認証やパスキーで重要なアカウントを守ることが、被害を防ぐ現実的な一歩になる。
▶ 元動画を視聴する（堀江貴文 ホリエモン）
