欧州各国の政府サイトが相次ぎ停止、PHP脆弱性が招いた混乱

水曜日、欧州各地の政府機関のウェブサイトがアクセス不能になりました。PHPに見つかった重大なセキュリティ上の欠陥から、各組織が自らのシステムを守ろうと対応に追われたためです。

ロイターによると、オランダの政府機関は10月21日に公共サービスを一時停止しました。欧州の他の地域でも、学校や病院がウェブサイトをオフラインにしています。この予防的な停止の背景には、2件のPHP脆弱性に関する警告があります。これらの脆弱性を悪用されると、攻撃者は認証なしで、影響を受けるサーバー上で悪意あるコードを実行できる可能性があります。

緊急パッチはすでに公開されています。しかし今回の混乱は、サイバー攻撃の成功が確認される前であっても、ソフトウェアの脆弱性が重要なサービスを止めかねないことを示しています。

予防措置としてオランダ政府のサービスをオフラインに

オランダ政府は、Overheid.nl、MijnOverheid.nl、DigiDなど複数の公共サービスを10月21日に一時的にオフラインにしたと 認めました。

当局によると、発表時点で実際に悪用されている兆候はありませんでした。停止は、管理者がセキュリティ更新を待つ間、侵害のリスクを減らすための措置です。

すべての政府サイトが影響を受けたわけではありません。Rijksoverheid.nlをはじめ、オランダ政府の多くのサイトはPHPを使用していないため、今回の脆弱性の影響は受けなかったと当局は説明しています。

オランダの国家サイバーセキュリティセンター（NCSC）も、自らのウェブサイトを一時的にオフラインにしました。NCSCは 公式告知の中で、アクセスが復旧するまでの間、代替の情報提供チャネルを利用するよう各組織に案内しました。

ロイターの報道によると、欧州の他の地域でも、政府、教育、医療関連のウェブサイトで同様の予防的な停止が行われました。

欧州連合（EU）のサイバーセキュリティ対応チーム CERT-EUは、修正をすぐに適用できない組織に対し、影響を受けるインターネット公開アプリケーションを公衆ネットワークから切り離すことを検討するよう勧告していました。

したがって、今回の停止は攻撃が成功した証拠とは限りません。脆弱なシステムを保護できるまで、被害の可能性を抑えようとした管理者の判断によるものです。

広範な混乱の後に緊急パッチを公開

この騒ぎは、2件の重大なPHP脆弱性、CVE-2026-109618とCVE-2026-109619が公表されたことで起きました。どちらもCVSS v4.0で9.2と評価されています。

これらの欠陥により、特定の条件下では認証なしのリモートコード実行が可能になる恐れがあります。攻撃者が脆弱なサーバー上で悪意あるコマンドを実行できる可能性があります。

eSecurity Planetは先に、 PHPの重大な脆弱性と緊急パッチ適用の警告を報じました。今回の新たな展開は、脅威への対応に追われた各組織で混乱が生じたことです。

10月21日、 PHP開発チームはバージョン8.5.12、8.4.27、8.3.36、8.2.35で修正を公開しました。

プロジェクトは管理者に対し、直ちに更新するよう強く求めています。Apache（mod_php）、PHP-FPM、php-cgiなど、複数の構成でウェブリクエストを処理する環境が影響を受ける可能性があると警告しました。

サポート対象外のバージョンのPHPを運用している組織は、さらに困難な課題に直面します。OSや長期サポート（LTS）ベンダーの一部は、修正をバックポートして提供する可能性があります。ただし、管理者は自社の環境がその対象かどうかを確認する必要があります。

パッチの公開によって、影響を受けた組織はサービス復旧への道筋を得ました。しかし、更新を適用したからといって、システムを安全にオンラインへ戻せるとは限りません。特に、修正前に不審な活動があったと疑われる場合はなおさらです。

早期の攻撃報告が緊急性を高める

脆弱性に関する情報が、予定されていたセキュリティリリースより前に公に出回ったことで、懸念はいっそう高まりました。

ロイターによると、Cloudflareはこれらの欠陥を狙った初期の攻撃活動を観測しました。一方、オーストラリアのサイバーセキュリティ機関は、その時点で悪用の事実は把握していないと述べています。

これらの発言はそれぞれ異なる観測に基づくものであり、広範な侵害の成功を裏付けるものではありません。

オランダ政府も、予防的な停止を発表した際、実際に悪用されている兆候はないと報告しています。

それでも、攻撃者が公開システムを狙う可能性があることで、公開サービスの提供を担う組織は、ただちに運用上の問題に直面しました。

英国の 国家サイバーセキュリティセンターは、PHPのインストール状況を洗い出し、インターネットに公開されたシステムで不審な活動を監視し、できるだけ早く更新を適用するよう各組織に助言しました。すぐに対処できない場合は、影響を受けるシステムのオフライン化を検討するよう推奨しています。

サービスの復旧にはパッチ適用以上の対応が必要

緊急の修正が利用可能になった今、影響を受けた組織は、システムをいつ安全に通常運用へ戻せるかを見極める必要があります。

セキュリティチームは、サードパーティ製アプリケーションに組み込まれたものや外部事業者が管理するものも含め、該当するすべてのPHP環境に更新が適用されたことを確認すべきです。

また、サーバーログを確認して不審な活動がないかを調べ、侵害の兆候があれば、サービスを復旧する前に調査する必要があります。

侵害が疑われる場合の対応については、eSecurity Planetの インシデント対応ガイドが、封じ込め、調査、復旧、事後レビューの重要性を解説しています。

今回の混乱は、自社で直接管理していないシステムにまたがる緊急の変更を、組織がどれだけ迅速に調整できるのかという疑問も投げかけています。

政府サービスや業務アプリケーションは、更新の展開をホスティング事業者、ソフトウェアベンダー、外部のIT部門に頼っている場合があります。修正が利用可能になった後でも、こうした依存関係が復旧を複雑にする可能性があります。

重要なオンラインサービスを運営する組織にとって、各コンポーネントを誰が保守しているかを把握することは、どのシステムが脆弱かを把握することと同じくらい重要です。

予防的な停止が公共サービスに難しいトレードオフを生む理由

脆弱なウェブサイトをオフラインにすれば悪用のリスクは減らせますが、別の問題が生じます。人々が重要なオンラインサービスを一時的に利用できなくなるおそれがあるのです。

オランダ政府がOverheid.nl、MijnOverheid.nl、DigiDなどのサービスへのアクセスを停止した判断は、このトレードオフを象徴しています。これらのプラットフォームは住民と行政機関のやり取りを支えており、予防的な停止であっても日常の行政手続きに支障をきたしかねません。

政府のIT部門にとって、この判断は2つの相反する優先事項のバランスを取ることを意味します。機密性の高いシステムを侵害の可能性から守ることと、国民が頼りにするサービスへのアクセスを維持することです。

影響は政府機関にとどまりません。公共部門の認証システム、オンラインポータル、サードパーティ連携に依存する企業も、これらのサービスが利用できなくなれば支障が出る可能性があります。

今回の事案は、事業継続に関する3つの重要な問いを投げかけています。

• サービスの優先順位付け: 公開アプリケーションのうち、どれを稼働させ続け、どれを一時停止できるか。
• 代替アクセス: 停止中、住民や企業は別の手段で重要な手続きを完了できるか。
• 復旧の調整: 追加のリスクを招くことなく、システムの安全性を確認してアクセスを回復するまで、どれだけ迅速に対応できるか。

PHPをめぐる一連の停止は、脆弱性への緊急対応計画において、技術的な修復と並んでサービスの可用性も考慮に入れるべき理由を示しています。サイバー攻撃の成功が確認されていなくても、攻撃を防ぐために必要な予防措置が、大きな運用上の負担を伴うことがあります。

政府サイトの停止が示すセキュリティ対策の備え

PHPをめぐる今回の事案は、広く使われているソフトウェアの深刻な脆弱性が、侵害が確認されていなくてもサービスの可用性の問題に発展し得ることを示しています。

ウェブサイトをオフラインにすれば悪用を防げるかもしれません。しかしその一方で、政府サービスや医療情報など、人々が頼りにしているリソースへのアクセスが途絶えることにもなります。

脆弱性が顧客ポータル、決済システム、社内アプリケーションに影響する場合、企業も同様の判断を迫られます。

当面の最優先事項は、影響を受けたシステムを保護し、安全にサービスを復旧させることです。長期的な教訓は、正確なソフトウェア資産の把握、パッチ適用の責任の明確化、そして遅滞なく発動できる復旧手順が必要だということです。

こうした能力は、効果的な ネットワークセキュリティ対策の中核をなすものであり、サードパーティ製のソフトウェアやインフラに依存する組織では特に重要です。

セキュリティ責任者にとっての問いは、自社のPHPにパッチを適用したかどうかにとどまりません。どの重要サービスが脆弱なコンポーネントに依存しているのか、誰がそれを守る責任を負っているのか、そして次の緊急事態が起きたときに、サービスをどれだけ早く復旧できるのかを把握しているかどうかです。

その他のニュース: Metaは、セキュリティ研究者がパッシブDNSレコードを通じて6,800件を超える会話リンクを発見したことを受け、MuseのAIチャット共有機能を停止しました。