セキュリティ
閣僚が報告、32サービスが利用不能、4サービスが一部障害。ただし侵害は確認されず
「PHP2Shell」をめぐるセキュリティ上の混乱により、英国政府のサービス32件がオフラインとなり、さらに4件が一部利用できなくなっています。政府は、ウェブ全体で被害を広げている重大な脆弱性へのパッチ適用に追われています。
この数字は、木曜日に英国上院で明らかにされました。テクノロジー担当大臣のロイド・オブ・エフラ男爵夫人が、PHPで2件の重大な欠陥が見つかったことに伴う混乱の状況を説明しました。
ロイド氏は議員らに対し、「現時点で把握している情報では、政府サービス32件が利用できず、4件が一部利用できない状態です」と述べました。「その大半は、セキュリティ更新プログラムや緩和策を適用する間、システムを守るために講じた予防措置によるものです」
さらに「各省庁と緊密に連携し、対応作業の完了後に、サービスを安全かつ確実に復旧させるよう取り組んでいます」と付け加えました。
政府は影響を受けたサービスの全リストを公表していません。ただ、予算責任局（OBR）がウェブサイトをオフラインにした機関の一つであることは分かっています。来週に予算案の発表を控えており、なんとも間の悪いタイミングです。議員からは、運転免許庁（DVLA）や警察サービスにも障害が出ているとの報告も上がりました。
サイトを停止したのは英国だけではありません。ドイツ、フランス、ベルギー、フィンランド、オランダの政府系ウェブサイトも予防措置としてオフラインになりました。オーストラリアのサイバーセキュリティ機関のウェブサイトも同様です。大西洋の向こうでは、米国家安全保障局（NSA）が各組織に対し、脆弱なシステムにパッチを適用するか、ネットワークから切り離すよう呼びかけています。ただし、米政府がウェブサイトの停止を公式に確認した例はありません。
PHP2Shellは2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619からなります。認証されていない攻撃者が、脆弱なサーバー上でコードを実行できるおそれがあります。英国の国家サイバーセキュリティセンター（NCSC）は、ただちにパッチを適用するよう各組織に警告しました。修正できるまでは、影響を受けるシステムのオフライン化も検討するよう求めています。
ロイド氏は「NCSCは先週、この具体的な脆弱性の可能性についてOpenAIから説明を受けました。ベンダーと連携して協調的に開示が行われるよう調整を進め、顧客を守るための十分な準備期間を確保しました」と述べました。
PHPの脆弱性の一つは、セキュリティ企業のCalifがOpenAIのモデル「GPT-5.6 Sol」を使って発見しました。一方、GoogleのWizは別途、AIツールを使って両方の欠陥を突き止めています。その後、OpenAIも自ら脆弱性を詳しく調べ、ベンダーや政府機関と協力して周知を進めました。
ロイド氏によると、政府は公開前に、省庁横断のインシデント対応体制を立ち上げました。NCSCは企業などの組織に対し、5万件の警告も送っています。
混乱は中央政府の外にも広がっています。自由民主党のラドフォード男爵夫人は、エディンバラ、オックスフォード、ブリストル、ランベス、バーネットなど、サービスがオフラインになったと伝えられる複数の自治体を挙げました。
同氏は、政府が提出しているサイバーセキュリティ・レジリエンス法案、が定める法定義務の対象から、なぜ中央政府と地方自治体が外れたままなのかと疑問を投げかけました。同法案は月曜日に上院へ戻ります。
ロイド氏は議員らに「これらの脆弱性によって中央政府のシステムが侵害されたことを示す確認済みの事例は、現時点で把握していません」と述べ、その後、この見解を英国の公共部門全体にも広げました。
AWSによると、攻撃者は脆弱性が公開される4日前から悪用していました。Cloudflareはその後、これらの脆弱性を悪用しようとする試みを数百万件記録しています。®
