同時多発の10月：PHP2Shell、GMO、相次ぐ漏えいが映した、国の防御が届かない企業の空白

最初の衝撃は、ウェブサイトの多くを支えるプログラミング言語PHPの脆弱性である。PHPの開発チームは10月20日に重大な修正の公開を予告し、21日にPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。修正された2件は脆弱性の深刻度を示す国際的な指標CVSS v4.0でいずれも9.2と評価され、公式発表によると、認証なしでリモートからコードを実行されるおそれがある。PHP-FPM、Apacheのmod_php、php-cgiなど、Webリクエストを処理するPHP環境が広く対象になり、2件はまとめて「PHP2Shell」と呼ばれている。

悪用の試みは公表の前から始まっていた。Amazonは、公表の4日前にあたる10月17日に、自社のおとりサーバーで悪用の試みを観測したと公表した。Cloudflareの最高経営責任者はXへの投稿で、悪用の試みが公表後45分で数万件、2時間で数十万件に増えたと述べたと報じられている。

情報処理推進機構（IPA）は21日、修正版の公開に先立って、PHPを利用しているプログラムの棚卸しを呼びかけた。報道によると、高市早苗首相は21日21時55分にXへ投稿し、修正版の速やかな適用を求め、適用が難しい場合はウェブサイトを一時的に停止することも有効策の一つだとした。21日の午後から翌日にかけて、コドモン、ネットショップ作成サービスのBASE、pixiv、ニコニコ、ゲームの一部タイトル、静岡銀行のネットバンキング、マイナンバーカード総合サイトなどが、予防的な停止や緊急メンテナンスに入ったと報じられた。

国内でPHP2Shellによる被害を公表した組織は、本稿が確認した11月1日時点では見当たらない。報道によると、木原稔官房長官は22日、PHPの脆弱性による被害の報告は受けていないと述べた。一方、インシデント対応の調整機関であるJPCERT/CCは29日の追記で、あるファイアウォール製品の特定のバージョンについて、侵害の成功を示唆する痕跡が確認されたとの報告を紹介した。製品名と日本国内で侵害された台数は示されておらず、当該製品が国内で広く使われていることが記されている。

二つ目の衝撃は、GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスである。このサービスはFXなどの取引ツールを動かすための仮想専用サーバーで、GMOは、サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に利用された可能性があると公表した。GMOは利用者からの問い合わせを受けて10月19日に調査を始め、20日に第三者による不正なプログラムの設置を確認した。21日4時からは全プランのサーバーを順次止めた。影響を受けた可能性があるサーバーは2万6,739台で、これは不正アクセスが確認された件数ではない。24日には、システムにセキュリティ上の問題があり、顧客の情報が外部に持ち出された事実を確認したと公表した。

GMOは、約80億円を要求する脅迫メールを21日に受け取ったと公表し、IR開示では要求には「永久に応じません」と明記した。27日には、攻撃者とみられる者が顧客情報と称するものを公開したことを確認した。28日には犯人の特定につながる情報に上限100万米ドルの懸賞金を設け、29日には社内のホワイトハッカーチームが入手した情報を警察などに提出すると公表した。侵入の経路は11月1日時点で公表されておらず、PHPとの関係にも触れていない。

三つ目の衝撃は、9月から続く個人データの漏えいである。個人情報保護委員会の資料によると、同委員会への不正アクセスによる漏えい等の報告（速報値）は、2026年4月の166件から9月の303件までおおむね増え、10月は16日までで830件に達した。半月あまりで9月1か月分の約2.7倍である。4月から10月16日までに漏えい等した延べ本人数は約2億6,000万人で、10月の報告のうち本人数が100万人を超えるものが22件あった。延べ人数のため重複を含み、金融業や電気通信業など委任先省庁を経由した報告は入っていない。

カーシェアリングのタイムズカーは、外部送信の痕跡があるアカウント662万8,007件と、本人確認書類の画像146万4,800枚を公表した。報道によると、焼肉きんぐの公式アプリで会員情報1,078万8,963件、ソースネクストで最大2,251万9,960件の流出または流出の可能性が公表された。EC構築サービスのショップサーブでは、運営会社のEストアーが公表した漏えいの最終的な対象が約2,335万6,000人、7,858店舗に上ったと報じられた。東京商工リサーチは、上場企業とその子会社による100万件以上の個人情報流出が、2026年は10月5日時点で10件に達し、2025年の6件をすでに上回ったとした。代償は公表で終わらない。タイムズカーは、本人確認書類の画像に外部送信の痕跡がある利用者に3,000円相当の見舞いを渡すと発表した。

これらを「PHPの穴からGMOが破られ、そこから漏えいが広がった」という一本の筋で語りたくなるが、それを裏づける公表はない。GMOは侵入経路を公表しておらず、タイムズカーの異常なアクセスの検知は9月25日で、AmazonがPHP2Shellの悪用の試みを観測した10月17日より前である。現時点の情報で言えるのは、三つが同じ10月に重なったということであり、一本の因果でつながっているということではない。

因果のつながりが示されていない三つの衝撃にも、FDE AIの見解では共通点がある。弱点が知られてから、実際に修正が終わるまでの時間差である。

GMOの熊谷正寿代表は、GMOが10月25日に案内した自身のブログ（その後更新）で、「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」と書いた。そのうえで、「サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果としてその対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」と記している。指摘がいつ行われ、今回の侵入とどう関係するのかは公表されていない。本稿は原因を判断する立場にない。ただ、代表自身の説明が、多くの企業の現場が日々向き合う可用性と優先順位という二つの言葉を挙げていることは重い。

一般に、修正はなぜ後回しになりやすいのか。修正には、サービスの停止、改修の費用、委託先との調整が伴う。止めれば売上と利用者の不満がすぐに見えるが、止めないことの危険は、事故が起きるまで数字にならない。この非対称がある限り、現場は合理的に先送りを選びやすい。

PHP2Shellの時間差は、性質が違う。こちらは、事前に指摘された課題への対応の話ではなく、攻撃の試みが修正版の公開より先に始まり、企業は公開から数時間で適用か停止かを決めなければならなかった。IPAは22日の注意喚起で、有効な暫定対策が難しい場合は外部からのアクセス遮断やサービスの一時停止が必要か判断するよう求めた。さらに、PHP 8.1以前はすでにサポートが終わっている。公式の修正版は8.2以降の系列向けだけである。開発チームは今回の深刻さを踏まえ、ソースから自前でビルドする利用者向けに7.4、8.0、8.1への最小限の修正を示したが、更新対象外であることは変わらず、IPAはサポートされている版への更新や移行の検討を求めている。8.2も2026年12月31日にサポートが終わる。サポートが終わった系列で動く業務システムにとって、次の脆弱性が出たときの時間差は、修正版を待つ時間ではなく、移行を終えるまでの時間になる。

漏えいの波にも、自社の外にある弱点が見える。大和証券では、問い合わせ管理サービスを提供する委託先のサーバーが不正アクセスを受け、顧客約11万人の個人情報が漏えいした可能性があると報じられた。報道によれば、侵入を受けたのは大和証券ではなく委託先である。ショップサーブでは、一つのEC構築サービスへの攻撃で、出店する7,858店舗の顧客情報に影響が広がった。個人データの漏えいとは別に、IDCFクラウドへのランサムウェア攻撃では、契約する495の企業・自治体のシステムやサイトに障害が及んだと報じられた。自社のシステムが無事でも、委託先や共通の基盤への攻撃で、顧客の情報や業務に影響が及ぶ。

JPCERT/CCは国内組織への不正アクセスが相次いでいることについて、「すべての事案で同一の攻撃手法が使用されていることを示すものではありません」と注意を促している。報道によると、GMOグループのセキュリティ会社は、日本企業を狙った攻撃基盤で、中国で開発されたとされるAI自律型の侵入テストツールが使われていたことを確認したと発表した。同社が観測できた範囲の分析である。一連の漏えい全体をAIの悪用や単一の攻撃グループで説明できる材料は、公表情報の範囲ではそろっていない。AIは、原因そのものというより、既存の弱点を突く速度と規模を押し上げる要因と見るのが妥当である。

FDE AIの見解では、今回公表された事例から見える弱点は、発見の能力よりも、修正を実行し切る意思決定と体制にある。修正には停止や改修費用が伴い、その判断が現場の優先順位に委ねられている限り、先送りは繰り返される。道具が速くなれば、時間差はそのまま被害の大きさになる。

能動的サイバー防御を導入するサイバー対処能力強化法と同整備法は、主要な部分が2026年10月1日に施行された。施行されたのは、基幹インフラ事業者による重要な電子計算機の届出とインシデントの報告、官民が情報を共有する協議会、そして警察と自衛隊が攻撃に使われるサーバーにアクセスして被害を防ぐ「アクセス・無害化措置」である。協議会には、基幹インフラ事業者を中心に約100組織が加入する予定とされる。国が通信情報を分析する仕組みは、2027年秋以降の活用とされている。

報告義務を負うのは、15分野258の基幹インフラ事業者である。これらの事業者は、特定の侵害事象を認知したら国へ報告しなければならない。一方、10月に公表された大規模漏えいの多くは、会員アプリ、ネット通販、EC構築サービス、FX用のクラウドといった、この枠の外にいるとみられる企業で起きた。経済安全保障推進法に基づき内閣府が公表する特定社会基盤事業者の一覧（2026年7月1日現在）には、大和証券は載っているが、タイムズカーの運営会社、GMOインターネット、ソースネクスト、ショップサーブを運営するEストアーなどは載っていない。この一覧は報告義務の対象と同じものとは限らず、大和証券の件でも、侵入を受けたのは委託先のサーバーであり、届出の対象となる重要な電子計算機に当たるかどうかは公表されていない。本稿は、国民生活への影響は大きいが制度の官民連携の枠に入っていない層を「中間層」と呼ぶ。

GMOは10月24日、本件を能動的サイバー防御の「発動第1号」事案と位置づけ、政府関係機関に緊急要請したと公表した。熊谷代表はブログで、自社が「法律が想定する電力やガスのような従来のインフラ事業者ではありません」と認めたうえで、「形式的な事業者区分にとどまらず、実質的な国民生活への影響に照らして適用可能性を検討していただきたい」と求めた。一方、innovaTopiaが日本経済新聞の報道として伝えたところによると、国家サイバー統括室の幹部は、個別の企業からの要請を受け付ける仕組みはないと説明した。政府は11月1日時点で、本件で無害化措置を実施したかどうかを公表していない。

ここに制度の空白がある。無害化措置は、国が攻撃側に手を伸ばす仕組みである。しかし、攻撃元を無力化することと、被害企業の弱いシステムを直すことは別の作業だ。国が攻撃者のサーバーに入れるようになっても、企業の古いPHPも、サーバーに置かれた認証情報も、委託先との契約も、企業自身が直すしかない。

政府・与党でも対応の検討が始まっている。自民党の国家サイバーセキュリティ戦略本部は10月23日、官邸主導の「サイバー対処本部（仮称）」の創設を含む提言を首相に申し入れた。10月26日の第1回サイバーセキュリティに関する関係閣僚会議で、首相は「来週中を目途に、政府としての『緊急対策パッケージ』を取りまとめます」と表明し、財政措置を含めた検討を各大臣に求めた。指示には、基幹インフラ・重要インフラに限らず所管業界の被害企業から迅速に情報を集めること、初動から復旧までの「民間の高度な専門能力を活用するための仕組み」をつくること、中小企業向けの「サイバーセキュリティお助け隊」の体制や支援策を拡充すること、協議会へのセキュリティベンダー企業などの参加を広げること、「高性能ＡＩを用いた脆弱性チェック」を前倒しで実施することが含まれる。パッケージは11月1日時点で公表されていない。

中間層の企業に、法律上の義務がないわけではない。個人情報保護法のもとでは、不正の目的による漏えいやそのおそれがあれば、個人情報保護委員会へ速やかに速報し（同委員会の案内ではおおむね3〜5日以内）、60日以内に確報を出さなければならない。同委員会は10月7日、大規模な漏えい等事案を踏まえた注意喚起を公表した。報道によると、不要になった個人データの消去などを事業者に求めている。中間層に課されているのは、平時の安全管理措置と漏えいが起きた後の報告の義務であり、攻撃を防ぐための官民連携の枠ではない。この差が、今回の被害の多くを国の手の外に置いた。

政府がつくろうとしている「民間の高度な専門能力を活用するための仕組み」の先では、実際に企業の現場に入り、修正を完了させる担い手が必要になる。これがFDEの領域である。FDEは、ベンダーや専門事業者のエンジニアが顧客の現場に入り、顧客の環境の中で導入から運用までを完了させる働き方を指す。

今回の危機でFDEに求められる仕事は、新しい技術の導入というより、地道な修正の完了である。公開しているシステムと認証情報の棚卸し、サポート切れのPHPで動くシステムの移行判断と暫定措置、サーバーに置かれた認証情報の撤去、ログの保全と検知の設定、委託先との契約の見直し。いずれも、外から助言するだけでは終わらない作業である。

外部の支援を使う企業が求めるべきは、助言書ではなく成果物である。資産台帳、修正記録、委託先の回答一覧、そして経営層が承認する当面の修正計画が手元に残り、支援が終わった後も社内で修正を回し続けられる状態になっているかどうかが、支援の良し悪しを分ける。

ただし、FDEは同時に新しいリスクでもある。顧客の環境に深く入るエンジニアは、最も権限の強い委託先になる。委託先が入口になったと報じられた例が今回もあることを考えれば、身元の確認、最小限で期限付きの権限、作業ログの完全な記録と顧客側での保管、作業後の権限の撤去を、顧客より厳しい水準で証明できないFDEは、次の漏えいの入口になる。

企業の側は、修正の判断を経営の責任に引き上げる必要がある。指摘された脆弱性に深刻度ごとの修正期限を設け、期限を超える先送りには経営層の承認を求める。サービスを止める条件と判断者を平時に決めておく。委託先との契約に、侵害の通知期限、ログの提供、監査への協力を書き込む。身代金を払わない方針と、その場合の顧客保護の費用を事前に見積もっておく。GMOは、利用者全員への一律5,000円の見舞金、不正取引による実現損失の補償、乗り換え先サービスの6か月無償、情報を公開された利用者への特別見舞金を組み合わせた。支払いを拒否しながら顧客を守るには、それだけの備えがいる。

政府の側には、緊急対策パッケージを中間層まで届かせる制度設計が求められる。FDE AIの見解では、要点は三つある。第一に、事業者の区分に加えて、接続している金融機関の数や保有する個人データの規模といった実質的な影響から、被害情報を集める基準を明文化すること。これは、個別の企業に無害化措置を適用するかどうかとは別の論点である。第二に、民間の専門能力を被害現場に送る仕組みを、身元確認、権限、作業ログ、守秘義務、責任分担の条件を定めた登録制とし、企業が安心して外部の専門家に作業を任せられるようにすること。第三に、先端AIによる脆弱性の発見を、現場で修正まで完了させる担い手と組み合わせて配ること。見つけるだけの道具は、直す人がいなければ一覧を長くするだけだ。

今回の危機は、国が攻撃側に手を伸ばす能力と、企業が自分のシステムを直す能力の落差を示した。法律は前者を整えた。後者を埋めるのは、企業の経営判断と、現場で直し切る人材である。