CVEは2件。PHP2Shellの問い合わせで、営業が先にそろえるのは「どのサイトを、誰が確認しているか」です。根拠が届く前に「大丈夫です」と返すと、後の説明が苦しくなります。
取引先からの問い合わせ対応に追われて、投稿が遅くなりました。僕が公開案内を読み比べて引っかかったのも、保守の担当範囲でした。
PHPの脆弱性が見つかり、修正版が出た
JPCERT/CCの注意喚起によると、The PHP Groupは2026年10月21日にCVE-2026-109618とCVE-2026-109619を公表しました。悪用されると、PHPを動かすプロセスの権限で任意のコードを実行される可能性があります。修正済みの版は8.5.12、8.4.27、8.3.36、8.2.35です。
Califの発表では、OpenAIの「Patch the Planet」に参加し、AIを使って調査した経緯を説明しています。発見には、過去のPHPの問題を知る研究者の着眼点も効いていました。AIに短い指示を渡せば全部見つかる、という話にはしていません。
AIは欠陥の発見にも、悪用できるか確かめる作業にも使われました。発見と修正の速さだけを期待して、委託先への連絡が翌営業日まで止まる運用を残すのは厳しい。僕は今回、保守契約の連絡体制まで見直すべきだと考えています。
制作会社の「更新済み」をどこまで受け取るか
ネオワーカーズの10月22日の案内を読むと、サーバー保守の利用者と、他社サーバーの利用者で説明が分かれています。WordPressやプラグインを更新しても、今回のPHP本体の問題は解決しない、とも明記しています。
ここで、制作会社への確認だけで終えると抜けます。
会社サイトの制作はA社、サーバーの契約は自社、という分担なら、A社がPHPを更新できるとは限りません。最初の一通に対象URLと契約サービス名を入れ、「PHP本体の更新担当はどちらですか」と聞く。自社名だけでは、昔のキャンペーンサイトまで対象に含めたか伝わりません。
次は、担当者が同じ対象を見て返答できる形にします。以下は確認依頼の文面です。角括弧を埋めて使います。
件名：PHP2Shell対応の確認依頼［対象サイト名］
対象URL：［URL。別サイトは分けて記載］
契約サービス・プラン：［名称／不明なら不明と記載］
確認対象：CVE-2026-109618、CVE-2026-109619
本番サイトで使うPHPへの影響と、判断の根拠をご回答ください。
修正済みの場合は、適用したPHPまたは配布パッケージの版、
本番への反映日時、提供元の修正案内をお願いします。
未完了の場合は、暫定措置、更新予定、当社に必要な承認を教えてください。
侵害の有無を調べる作業の担当・実施状況も確認したいです。
まず［日時・日本時間］までに、判明した範囲と次の連絡予定をご返信ください。
版番号は、利用中のOSや製品の提供元の案内と照合してもらいます。JPCERT/CCも、Linuxディストリビューションなどの情報を併せて確認するよう案内しています。営業が数字の大小だけで合否を決めると、配布元が既存の版へ修正を取り込む対応を取りこぼします。
顧客には、更新と調査の進み具合を分けて返す
更新完了と、侵害の有無の調査完了は別々に記録します。JPCERT/CCは対策と侵害調査の両方を求めており、痕跡が見つからなくても攻撃を受けていないとは断定できないとしています。
返答を待つ間も、次の連絡日時は伝えられます。
［対象サイト］について、保守担当へPHP2Shellの影響を確認しています。
現在の状況は［確認中／更新予定／修正版の反映を確認］です。
侵害の有無の調査は［状況］で、現時点では安全を断定できません。
次回は［日時・日本時間］までに、判明した範囲をご連絡します。
これは確認中の一次回答用です。事実に合う欄だけを選び、送信前に担当者とそろえます。問い合わせのたびに担当者へ催促する代わりに、次の連絡時刻を決める。ここ地味に効きます。
緊急更新の見積もりを止めない
ITmediaの報道では、高市早苗首相も10月21日に修正パッチの適用準備を呼びかけています。社内で優先順位を説明する材料には使えます。そこに、自社の対象サイトと委託先の回答を添えたい。
追加費用が出るなら承認者を決める。停止が必要なら、問い合わせフォームの代わりの受付先も用意する。フォームにファイルを添付できることも、更新後の確認項目に残します。提供会社の案内には、暫定措置でアップロードが使えない場合も挙がっていました。
次の保守更新では、緊急時の連絡先、初回返答の目安、有償作業の承認方法を契約先と詰めます。AIで発見や検証が速くなるほど、発注側の承認待ちが目立つと僕は見ています。今日そろえるのは、対象サイトにひもづいた確認結果と次の連絡日時。そこまで決まれば、顧客への返答を各営業の勘に任せずに済みます。