2026年10月21日、PHPの重大な脆弱性が公表されました。

この発表を受け、多くの人が不安を抱き、一部の企業や団体ではWebサイトの一時停止といった対応が取られました。その結果、普段は技術者以外が意識することのない「PHP」という技術そのものが、あたかも危険な存在であるかのように報じられているようにも感じました。

そこで今回は、この出来事をきっかけに、私自身のセキュリティに対する考え方を整理してみたいと思います。

なにが起こったのか

世の中には数多くのプログラミング言語が存在し、今も新しい言語やフレームワークが生まれ続けています。

PHPはその中でも比較的長い歴史を持つ言語であり、多くのWebサイトやサービスで利用されています。

今回問題となった脆弱性は確かに深刻なものでした。しかし、脆弱性の公表そのものはPHPに限った話ではありません。多くのプログラミング言語やフレームワークで、日々脆弱性が発見され、修正されています。

実際、同じ時期にはNode.jsでも複数の脆弱性が報告されていました。しかし、こちらは影響範囲が限定的だったため、大きく報道されることなく、多くの技術者が通常どおり対応していました。

つまり今回特別だったのは「PHPに脆弱性があったこと」ではなく、「影響範囲が広く、多くの人の目に触れたこと」ではないかと思います。

私とPHP

私は特にPHPを好んで使っているわけではありません。

ただ、静的HTMLで作られたページの一部を、データベースなどの動的なデータに置き換える用途では便利な技術です。そのため20年ほど前には、イベント告知サイトなど短期間だけ利用するWebサイトでPHPを使用していました。

その後、自分の備忘録としてブログを作る際に、当時流行していたWordPressも学んでおこうと思い導入しました。

もともとHTMLでサイトを構築することに慣れていたため、WordPressを使わなくてもブログを作ることはできました。しかし、広く利用されている技術を知っておくことも大切だと考えていたためです。

気になったこと

当初は、仮にWordPressが侵害されたとしても、最悪の場合はブログの記事を書き換えられる程度だろうと考えていました。

しかし、サーバーにはメールアカウント管理用のソフトウェアも導入していました。

このソフトウェアについては、アクセス元を踏み台サーバー経由に限定し、利用しない時はポートも閉じていましたので、大きな問題はないと考えていました。

ところが、WordPressとメール管理システムが同じデータベースを利用していたことに気づきました。

もしWordPress側が突破された場合、メール関連の情報にまで影響が及ぶ可能性があります。

本来は別システムとして考えていても、データベースを共有している以上、完全に分離されているとは言えません。

この点は、自分自身にとっても改めて考えさせられる出来事でした。

当日の対応

当日は知人との会食があり、少しお酒を飲んで帰宅しました。

寝る前にニュースサイトを見て今回の問題を知り、そのまま朝まで対応することになりました。

結果的には大きな被害はありませんでしたが、

本当に守るべきものは何か

を改めて考えるきっかけになりました。

セキュリティについて

最近は、大規模なハッキング被害のニュースを頻繁に目にします。

AIと話をしていても、多くの事例は次のような流れをたどっているようです。

侵入
 ↓
権限昇格
 ↓
データベース取得
 ↓
バックアップ取得
 ↓
暗号化

私は30年近くサーバーの保守に携わってきました。

その経験から、

「侵入を完全に防ぐことは不可能である」

と考えています。

だからこそ大切なのは、

• 攻撃を受けてもサービスを継続できること
• 攻撃を受けても重要なデータを守れること

だと思っています。

私が理想としているのは、次のような状態です。

侵入
 ↓
Webサーバーのみ
 ↓
重要データへ到達できない
 ↓
再構築で復旧

サーバーそのものを完全に守ろうとするのではなく、重要なデータを守ることに重点を置く考え方です。

フロントエンドとバックエンドの分離

近年はコスト削減のため、Webサーバー、アプリケーションサーバー、データベースサーバーを1台にまとめて運用するケースも増えています。

昔は、

FW
 ↓
Webサーバー
 ↓
APサーバー
 ↓
DBサーバー

という構成が一般的でした。

物理サーバーやラックのコストがかかる時代でしたが、その分、侵害された場合の被害範囲を制御しやすい構成でもありました。

その後クラウドが普及し、仮想サーバー上にそれぞれの役割を分離して構築できるようになりました。

しかし近年はクラウド利用料の高騰もあり、再び複数の役割を1台にまとめる構成が増えているように感じます。

私は可能な限り、フロントエンドとバックエンドを分離したいと考えています。

仮にWebサーバーが侵害されたとしても、データベースへ直接アクセスできない構造にしておけば、被害を限定できます。

また、重要なシステムへアクセスする際は踏み台サーバー経由とし、その踏み台サーバーも必要な時だけ起動する運用を行っています。

完全な防御はできません。

しかし、

「侵入されたときに何を守れるか」

を考えながら設計することで、被害を最小限に抑えることはできます。

おわりに

長年サーバー運用に携わってきた経験から、私は「攻撃を受けないシステム」を目指してはいません。

目指しているのは、

• 攻撃を受けてもサービスを継続できること
• 攻撃を受けても重要な情報を守れること
• 侵害されたサーバーは速やかに再構築できること

です。

脆弱性は今後も発見され続けるでしょう。

PHPでも、Node.jsでも、それ以外のシステムでも同じです。

だからこそ、

サーバーを守るのではなく、データを守る。

私はこれを、これからもセキュリティ設計の基本として考えていきたいと思います。