PHP（ピーエイチピー）は、主にWebサイトのサーバー側で処理をするためのプログラミング言語です。 予約の空き状況を調べたり、ネットショップで注文を受け付けたりする仕組みを作るために使われます。
今回のニュースで問題になっているのは、PHPの実行環境の弱点を悪用し、外部からサーバー上で不正な処理を実行される恐れがあることです。PHPを使っているというだけで、そのサイトで被害が起きたと判断することはできません。
攻撃が成立するかは、修正が適用されているか、外部から対象の処理へアクセスできるか、サーバーの構成などによって異なります。ただし、PHP公式はWebからのアクセスを処理するPHP環境を広くリスクの対象としており、特定の画面や機能がないことだけでは安全と判断できません。
この記事では、プログラミングの知識がない方にも伝わるよう、身近な予約サイトを例にPHPの働きを説明します。そのうえで、今回確認されている問題と、悪用された場合に起こり得る被害を分けて整理します。
情報確認日：2026年10月22日。脆弱性やサービスへの影響に関する情報は更新されるため、最新状況は公式発表をご確認ください。
PHPは、Webサイトの裏側の処理を書くための言語
Webサイトでは、画面に見える文字や画像を表示するだけでなく、利用者の入力に応じて情報を調べたり、保存したりする処理も行われています。
PHPは、そのような裏側の処理を書くために使う言語の一つです。正式名称は「PHP: Hypertext Preprocessor」。Web開発で広く使われるオープンソースの言語です。
ここで押さえておきたい言葉が、サーバーとデータベースです。
| 言葉 | この例での役割 |
|---|---|
| ブラウザー | スマホやパソコンでサイトを開き、画面を表示するソフトウェア |
| サーバー | サイトへのアクセスを受け付け、処理をして情報を返すコンピューターなど |
| データベース | 予約情報などを整理して保存し、必要な情報を検索する仕組み |
| PHP | サーバー側で、入力を受け取り、データを調べ、結果を返す処理などを書くための言語 |
普段のWeb閲覧では、PHPはサイトを提供する側で動きます。読む人のスマホにPHPをインストールする必要はありません。
PHPの基本的な役割は、記事末尾の参考情報1で確認できます。
予約サイトでは、入力した日付からどうやって空きを調べる？
たとえば、PHPを使った予約サイトで「11月3日、2人」と入力して、空き状況を検索する場面を考えてみましょう。
以下は仕組みを理解するための例です。実際のサイトでは複数の技術や別のサービスが連携することもあり、すべての予約サイトがPHPを使っているわけではありません。
1．スマホから日付や人数を送る
日付と人数を選んで検索ボタンを押すと、ブラウザーからサーバーへ、検索に必要な情報が送られます。
このように、サーバーへ処理を求める通信を「リクエスト」と呼びます。この段階では、画面に入力しただけで空き状況が分かったわけではありません。
2．サーバー側で入力内容を受け取る
サーバー側のPHPプログラムは、送られてきた日付や人数を受け取ります。プログラムの作りに応じて、必要な項目がそろっているか、日付や人数が扱える値かなどを確認します。
PHPを使えば自動的に必要な確認がすべて済む、という意味ではありません。何を確認し、どう処理するかは、開発者が作ったプログラムによって決まります。
3．保存されている予約データを調べる
次に、指定された条件に合う空き状況をデータベースへ問い合わせます。
たとえば、予約枠の情報と、すでに入っている予約を使い、「2人で利用できる時間が残っているか」を調べる処理です。PHPプログラムと、情報を検索するデータベースなどが協力して動きます。
4．調べた結果をスマホへ返して表示する
サーバーは結果をブラウザーへ返します。この返答が「レスポンス」です。ブラウザーは受け取った情報を使い、「10時は空きあり、16時は満席」などと画面に表示します。
入力を送る → サーバーで受け取る → 予約データを調べる → 結果を返して表示する。 この流れのうち、サーバー側の処理を書くためにPHPを使えます。
なお、空き状況の検索と予約の確定は別の処理です。検索結果に空きがあっても、確定までの間に別の予約が入る場合があるため、実際のシステムでは確定時の確認なども必要になります。
注文の受付やログインなどにも使われる
PHPで作れる仕組みは、予約サイトだけではありません。
| 身近な機能 | サーバー側で行う処理の例 |
|---|---|
| ネットショップ | 商品情報を取り出し、注文内容を受け付ける |
| 会員サイト | ログイン情報を確認し、会員向けの情報を返す |
| 問い合わせフォーム | 入力内容を受け取り、保存やメール送信を行う |
| ブログ・ニュースサイト | 記事のデータを取り出し、表示する内容を作る |
これらはPHPで実装できる例です。見た目が同じサイトでも、別の言語や仕組みで作られていることがあります。
また、PHPだけですべてを行うわけではありません。画面の構造を表すHTML、見た目を整えるCSS、ブラウザー上の動きを作るJavaScriptなどと組み合わせて使われます。JavaScriptはサーバー側でも使えるため、役割の分け方はサイトによって異なります。
今回のPHPの脆弱性では、何が問題になっている？
脆弱性（ぜいじゃくせい）とは、攻撃に利用される可能性があるソフトウェアなどの弱点です。
今回のPHPの問題は、本来受け付けるべきでない処理を、外部からサーバー上で実行される恐れがあることです。通常の予約検索なら、想定した条件で予約データを調べます。一方、弱点を悪用されると、プログラムが意図していない処理へつながる可能性があります。
これは、単に入力欄へ「悪い命令を書けば動く」という意味ではありません。今回公表されたのは、PHP内部のメモリーや状態の扱いに関する問題です。
PHP開発チームは、2026年10月21日に重大な脆弱性2件の修正版を公開し、速やかな更新を呼びかけています。
| 確認項目 | PHP公式発表の内容 |
|---|---|
| 脆弱性の識別番号 | CVE-2026-109618、CVE-2026-109619 |
| 問題の概要 | 認証なしで外部からコードを実行される恐れ |
| サポート対象の各系列で公開された修正版 | PHP 8.5.12／8.4.27／8.3.36／8.2.35 |
CVEは、公開された脆弱性を区別するための識別番号です。2件の詳しい技術情報は、記事末尾の参考情報3・4に掲載されています。
表の修正版は、各系列で今回の修正が入ったバージョンです。表にない古い系列が影響を受けない、という意味ではありません。PHP 8.1以前はPHPプロジェクトの通常の更新対象から外れています。提供元が独自に修正を取り込んだ更新を配布する場合もあるため、表示される番号だけで修正の有無を判断できないことがあります。
「認証なし」とは、攻撃者がサービスの会員や管理者としてログインしていなくても、攻撃が成立する恐れがあるという意味です。
どのURLからでも、必ず攻撃が成功するという意味ではありません。一方、今回の問題には、サーバーの構成によっては、サイト独自のプログラムが動き始める前に攻撃が成立するものもあります。「ログイン画面やアップロード画面がないから対象外」とは判断できません。
今回の公表内容と修正版については、参考情報2〜4に基づいています。
悪用された場合に考えられるのは、情報流出・改ざん・停止
サーバー上で不正な処理を実行されると、その処理がアクセスできる情報やファイル、機能に影響が及ぶ可能性があります。
次の3つは、サーバーで不正な処理を実行された場合に、一般に考えられる影響です。今回の2件について、すべての環境で同じ被害が生じると確認されたわけではありません。特定のサービスで今回これらの被害が発生した、と報告するものでもありません。 実際の影響は、サーバーの権限、保存情報、設定、修正状況などによって変わります。
情報の流出：保存されたデータを盗まれる恐れ
不正な処理から個人情報や予約情報などへアクセスできる状態なら、情報を読み取られたり、外部へ持ち出されたりする恐れがあります。
ただし、PHPの弱点があるだけで、あらゆる情報が必ず盗まれるという意味ではありません。どこに何を保存し、どの処理にどんな権限を与えているかが影響します。
サイトの改ざん：内容やリンクを書き換えられる恐れ
ページに関わるファイルやデータを書き換えられる状態なら、掲載内容の変更や、不正なリンクの埋め込みにつながる可能性があります。
読者に見える画面の変更だけでなく、裏側の処理が変更される場合も考えられます。画面が普段どおり表示されることだけでは、被害の有無を判断できません。
サービスの停止：予約や買い物ができなくなる恐れ
必要なデータや処理が壊されるなどして、サイトが正常に動かなくなる可能性もあります。予約できない、注文を進められないといった影響が考えられます。
一方、サービスの停止がすべて攻撃によるものとは限りません。修正作業や予防的なメンテナンスのため、運営側が一時停止する場合もあります。停止のお知らせだけで、情報流出や侵害が発生したと決めつけることはできません。
「弱点の発見」「被害の発生」「修正版の適用」は別の話
ニュースを読むときは、次の3つを分けると状況をつかみやすくなります。
| 言葉 | 分かること |
|---|---|
| 脆弱性が見つかった | 攻撃に利用される恐れのある弱点が確認された |
| 被害が確認された | 実際の調査などで侵害や影響が確認された |
| 修正が適用された | 対象の環境に、弱点を修正する更新などが反映された |
PHP公式が修正版を公開したことと、自分の使うサービスへ修正が適用されたことも別です。今回のニュースだけで個々のサービスの被害や安全性を判断することはできません。
IPAの10月21日の案内は、修正版の公開前に、速やかに適用するための準備を求めたものです。同案内で悪用した攻撃を確認していないとした記述は、その発信時点の説明であり、その後も攻撃がないことを保証するものではありません。
IPAの案内は、記事末尾の参考情報5で確認できます。
PHPは普段の画面からは見えにくいものの、入力を受け取り、データを調べ、結果を返す仕組みを支えています。その実行環境の弱点が、情報やサービスの動作に影響し得ることが、今回のニュースを理解するポイントです。利用中のサービスへの具体的な影響は、それぞれの最新の公式発表をご確認ください。
