PHPのセキュリティ侵害で世界的にウェブサイト停止

2026年10月21日、ドイツ連邦情報セキュリティ庁（BSI）はサイバーセキュリティ警告を発表した。CVE-2026-109618とCVE-2026-109619という2つの重大なPHPの脆弱性を特定し、リスクをレベル3（オレンジ）と評価し、極めて高い脅威であると示した。警告は即時のセキュリティ更新を促した。

「PHP2Shell」と呼ばれる脆弱性は、認証なしでリモートでコードを実行できる。結果として、多くのウェブサイトが事前に停止された。ドイツ連邦刑事警察局（BKA）のサイトは朝に停止したままでした。Berlin.deなど他のサイトは一時的な制限に直面した。

2026年10月22日にPHPプロジェクトが修正済みバージョンをリリースした。更新を適用後、いくつかのサービスが再稼働した。S-Bahn Berlinのウェブサイトは夜間に再びオンラインになった。Rheinland-PfalzとSaarlandのドイツ州ポータルもパッチ適用後に再開された。

中国産業省は包括的なITシステムの見直しを呼びかけ、ユーザーに最新のPHPバージョンへのアップグレードを促した。韓国国防安全局はサイバーセキュリティ危機会議を開催した。フィンランド国立ITセンターは公的政府ウェブサービスが影響を受けたと指摘した。