PHP脆弱性php2shell対応、7.4本番を止めずに守った夜と実際の攻撃 - Qiita

2026 年 10 月 21 日 21 時 55 分、高市総理が X にこう投稿しました。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 (高市早苗 on X) PHP の任意コード実行の脆弱性 2 件、通称 php2shell（CVE-2026-109618 / CVE-2026-109619、CVSS v4.0 9.2）の夜です。 その夜、私が保守を担当しているオンラインサービス事業者 A 社の複数のサイトは、PHP 7.4 で動いていました。公式の修正版が出ない版です。修正パッチを「速やかに適用することが困難」な側でした。 それでもサイトは止めず、WAF と PHP の設定で穴をふさぎました。と書くと格好いいのですが、やったことは「入口で multipart を断る」と「ini に

[twatw]

これだけ情報漏洩が発生している状況だと、無理にサービス動かすより安全が確認できるまで止める決断の方を尊重したい

[sabinezu]

サイトを止めない方が偉いみたいのは、ユーザーの安全とサイトの利益(または自身のエゴ)を天秤にかけてるって事だよな。止めりゃいいじゃん。決断力が無い。しかもなんか興奮してるじゃん。

[Eiichiro]

総理Twitterスタートの時点でヤバいなぁ。普通のセキュリティ人なら、もっと早くに気づいて動いてるし。CloudflareのWAFは総理より早く対応完了してたけけど、普通のWAFならアップデートは間に合ってないよなぁ。

[morimarii]

まず普段から７．４使って平然としている時点で……脆弱性は発表された瞬間に発生するわけではないんだが

[hayashin10]

そもそもサポート切れの7を使ってるって宣言するサービスなんか使いたくない。まずサポートバージョンに切り替えるべきでしょ。堂々と7使ってます。対応はこうですっていう神経がわからん。

[ejointjp]

なんか、どうせAIが考えてAIが対策したものをAIに書かせただけじゃんって思っちゃうんだよな。

[igni3]

サポート切れの7.4使ってる奴が対策したと言っても信じられるわけねえよな

[good2nd]

総理のX出るまで何もしてなかったところがどのくらいあるのか気になる。

[circled]

7.4使ってる時点でセキュリティ意識低くない？AIもあるのになんでこんなことになってんの？という問題の方がでかい気がする

[harumaki_net]

“7.4.33-31 が 10/21 付けで上がっていました。ボランティアの方の「今日」は、告知よりも少し長かったようです”公開されたのは10/21の23時頃。当日に出ている。それより7.4のパッチを出してくれたことに感謝するべき。

[ya--mada]

前提がわからないが、rh8系のユーザーのご苦労話なのかな？

[kshtn]

なんか無駄なこと一生懸命やってるようにしか見えん

[tk_musik]

止めない判断も状況判断の上なら尊重して然るべきだと思うけど。止めるのがいいとか止めないのがいいとかラベリングせずそれぞれ判断することを推進すべきで、止めない圧力云々はちょっと政治的すぎるというか

[Goldenduck]

あらかじめサーバー停止しパッチ適用後じっくり確認してから再開がゆるされるところでしか働きたくない

[shoh8]

“エラーが出ないまま効いていない、が一番怖い” /ここまでシビアじゃなくても良いけど、トラブル対応を経験すると、技術者は飛躍的に伸びる

[ardarim]

2000年問題の時みたいだ。あの時はまだTwitterはなかったけれど、徹夜待機組とかみんな同じ夜を共有したはず。 / 短い時間で対策しなければならない現場は大変だよね…

[otoku-memo]

WAFは動作中システム触らずに色々できて全能感あるんだが、原因から遠い場所での対策ほど費用対効果は悪いんだよねえ

[omaya]

生々しい、設定(base64化される)の方法が間違っていたあたりヒヤヒヤ。お疲れ様でした。

[tekimen]

本家7.4にもブランチ生えてましたが…

[at_yasu]

お疲れ様です。とりあえずphp8.3とかに上げましょうか。

[WildWideWeb]

話を丸めて「ウチもWAF入れてあるからしばらくはなんとかなるんでしょ」と判断してしまう半可通な上司が出てきたら怖いなと。

[nguyen-oi]

7.4が現役な地獄はさておき、高市総理のツイートを盾にするの草。現場の臨場感がすごくて読み応えある

[yarumato]

“あの夜がちょっと楽しかった。SNSには、どこまで分かったか、どこで止めるか、どの暫定策が効くかが次々に流れてきました。それを見ながら手を動かすのは、知らない人たちと同じ夜を一緒に乗り越えている感覚”