論考　サイバーと国の守りを読む　　守りの要は、体力と気力

論考　サイバーと国の守りを読む

――竹田恒泰『それいけ！エクスチェンジャーズ』第37回が語ったPHPとGMOの問題

2026年10月30日｜論考｜AI・技術

10月29日（木）の夜、竹田恒泰氏の番組『それいけ！エクスチェンジャーズ』第37回が配信されました。この回は、竹田氏が営むエクスチェンジャーズ社のエンジニア、奥田氏を迎え、いま世の中を騒がせている二つの出来事、プログラミング言語PHPの重大な欠陥と、GMOインターネットのサービスへの不正アクセスを、じっくり語る回でした。

エンジニア自身が、その夜に何をしたのかを話しているので、報道だけでは見えない現場の手ざわりがあります。そして話の行き着いた先は、意外なほどアナログな、しかし日本人にはなじみの深い結論でした。以下、番組の流れに沿ってまとめ、最後に、番組で語られたことを公式の記録と報道で確かめた表を付けます。

前稿：GMOの不正アクセス、何が起きたのか（10月27日）　― 高橋洋一チャンネルの解説を、発表と報道で確かめたもの。

PHPは、ウェブサイトの裏側で動くプログラミング言語の一つです。手軽にホームページを作れるWordPress（ワードプレス）もPHPで動いています。比較的やさしい言語なので広く使われ、奥田氏によれば、世界のウェブサイトの七割ほどがPHPを使っています。

今回見つかった弱点は、「リモートコード実行」と呼ばれる種類のものでした。悪意のある人が、自分で書いたプログラムを、よそのサーバーの上で勝手に動かせてしまう。しかもパスワードによるログインも要らない。パスワードを破られて乗っ取られる、という話とは質がまるで違う、と奥田氏は言います。

直し方そのものは簡単で、PHPを新しい版に上げればよい。ただ、穴があまりに危なく、使われている範囲があまりに広かったために、世界中が震え上がりました。高市首相が自らXで対応を呼びかけたことにも、竹田氏は「一国の首相がこんな投稿をするのか」と驚いていました。

番組で印象に残ったのは、この穴が見つかった経緯です。奥田氏によれば、弱点そのものは2024年ごろ、すでに人間が見つけていました。ただ、それを悪用するのは無理だろうと判断され、後回しにされていたといいます。

奥田氏はこれを迷路にたとえました。とてつもなく大きな迷路があって、一瞬で解ける者が現れれば悪用できるが、そんな者はなかなか現れない。だから放っておかれた。ところが2025年から今年にかけてAIが急速に賢くなり、その迷路を一瞬で解ける存在になってしまった。

さらに、中身が公開されたAI（オープンウェイトのモデル）は、安全のための歯止め（ガードレール）を外す方向に学び直させることができます。そうして歯止めの外れたAIに「この言語にはこういう弱点があるらしい、やり方を見つけてみて」と頼めば、見つけてしまう。修正版が出る前に悪用が始まる弱点を「ゼロデイ脆弱性」と呼びますが、今回のPHPの件はまさにそれにあたる、という説明でした。

そして奥田氏は、こうした穴はPHPに限らず、ほかの言語にもまだたくさん眠っていると考えてよい、と言います。人がまだ気づいていないか、誰にもできないだろうと放っておかれているだけだ、と。

PHP側は、日本時間の夜11時に修正版を出すと予告していました。ところがその前に、ある研究者が攻撃のデモを公開してしまいます。これではやり方がすぐに広まる。修正版がまだない以上、できることはサイトを閉じることだけでした。

エクスチェンジャーズはPHPを使う部分のサイトを早々に閉じ、11時に修正版が出るとすぐに当て、そこから検証に入りました。版を上げればすぐ元通り、とはいかないのがシステムの厄介なところで、動かなくなる部品が出てくることもある。ほかに穴はないか、すでに何かを仕込まれていないかを調べ、大丈夫と分かってから再び開く。その手順を踏んだので、エンジニアにとっては大変な一週間になりました。なお、エクスチェンジャーズのアプリはPHPを一切使っていないため、影響はなかったそうです。

竹田氏は、もしこれが朝4時のアナウンスだったらどうなっていたか、と問いかけました。夜11時という、日本人がまだ起きている時間だったのは、たまたまの幸運だったのです。

では、ほかで実際にやられたサイトはあるのか。奥田氏によれば、悪用の動きは確認されているものの、攻撃が成功したという報告は今のところ出ていません。ただ、それは公表されていないだけかもしれない、と言います。

攻撃する側の心理として、すぐに何かをするとは限らない。いったん何かを埋め込んでおき、皆が忘れたころに、データを暗号化するなどの悪さをする。竹田氏は「ウイルスみたいだね」と応じ、二人は「潜伏期間」という言葉で一致しました。

とくに心配なのは、エンジニアが社内にいない中小企業や町の診療所など、仕組みが古いままのところです。システムは開発会社に任せきりで、その開発会社は多くの客先を抱えて手が回らない。首相のXを見て慌てた時点で、もう遅かったかもしれない。サイトを閉じても、すでに何かが埋め込まれている可能性は残り、外から見ても分からないことが多いのです。一か月後、二か月後に情報の流出がさらに出てくる可能性は否めない、というのが奥田氏の見立てでした。

話はGMOの件に移ります。奥田氏はまず、これはPHPとは無関係だと断ったうえで、被害を受けたサービスを説明しました。「お名前.com デスクトップクラウド」は、ネット越しにいつでも使える仮想のパソコンを貸すサービスで、24時間つけっぱなしにできるため、FX（外国為替証拠金取引）の自動売買に使う人が多かった。自動売買だったことが、かえって被害の発見を遅らせたとも言われます。

なぜこうなったのか。攻撃者とされる者が出した声明では、GMOの経営が簡単な弱点を放置していた、と指摘しています。報道でも、社内では課題として把握されていたが、経営が後回しにした、と伝えられています。奥田氏は、確定した情報ではないと前置きしつつ、その見方はおおむね妥当だろうと同意しました。簡単な修正だったはずなのに、なぜ後回しにしたのかは謎だ、とも。

攻撃者は身代金を求め、払わなければ個人情報をさらすと脅し、実際に一部をさらしました。竹田氏はこれを「劇場型」と呼びました。一方で、声明の出し方には不自然な点が多いとも二人は言います。ふつうはダークウェブ（一般の検索では届かない裏のネット）で公表するところを、一般のサーバーで公開している。成りすましや愉快犯の可能性も否めず、もし本人なら相当な素人だ、という見方でした。

身代金を払う会社はあるのか、という問いには、大手でも払った例は結構あると聞く、という答えでした。払えば戻るケースが多いが、戻らないこともある。アメリカではサイバー攻撃への保険が充実していて、払ってしまう選択がなされることもある。世の中には「払えば止めてくれる」と信用されている攻撃集団まであるそうで、竹田氏も驚いていました。

竹田氏は、視聴者のために「エクスチェンジャーズはなぜ大丈夫と言えるのか」を尋ねました。奥田氏が挙げたのは三つです。

一つ目は、情報の隔離です。一か所を破られても、ほかには及ばないようにする。乗っ取られても、持ち出される情報がない、少なくとも限られる。これは設計の初めから貫いてきた考え方だといいます。二つ目は点検です。穴はないか、変なものはないか、身に覚えのないことが起きていないか。これを怠っている会社は多いが、自分たちはきちんとやっている、と。三つ目は、一人ひとりの心構えです。やられる多くは、まず個人が破られ、そこから社内の網に入られる、という形だからです。

ここで竹田氏が、サイバーの話だが、要点は戦前から同じだ、と言いました。いつもきれいに掃き清めているから、異常にすぐ気づける。日本海軍は軍艦をぴかぴかに磨き上げていた。客船でもないのにそこまで磨いてどうするのか、と思われるほどだったが、それは異常を一瞬で見つけるためだった、と。

奥田氏は、医療の現場、手術室に近いと応じました。メスをきちんと整え、今日何をするかを全員で確かめてから始める。呼ばれたらすぐ行けるようにしておく。整理、整頓、体力、気力。竹田氏は「どれだけアナログなんだ」と笑いながらも、「そういうのは日本人の得意なところだ。ものづくりの現場もそうだ」と結びました。

では、これからしばらく続くであろう守りの日々をどう乗り切るのか。奥田氏の答えは「今のところは、エンジニアの気力と体力」でした。修正の知らせが出たらすぐ気づける仕組みを整え、エンジニアは枕元にスマホを置いて、何かあれば起きられるようにしておく。やがては守る側もAIの力を借りられるだろうが、今の時点ではそれしかない、と。

会社から情報が漏れること自体は、個人では防ぎようがありません。個人が防ぎたいのは、どこかで漏れたパスワードを使い回していたために、別のサービスまで破られることです。奥田氏が勧めたのは次のようなことでした。

まず、パスワードの使い回しをやめること。そして、使えるところでは必ず二段階認証かパスキーを設定すること。二段階認証は、申し込みや決済のときにメールなどで届く番号を入れる方式です。パスキーは、スマホそのものを鍵にする方式で、スマホのロックを指紋や暗証番号で解けることをもって本人とみなします。メールのアカウントを乗っ取られると二段階認証は破られかねないが、パスキーなら手元のスマホが鍵なので、より安全だ、という説明でした。

次に、GoogleやYahoo!のアカウントのように、ほかの多くのサービスの親鍵になるものは、心臓部だと考えること。そのパスワードは、紙に書いて金庫にしまうくらいでもよい。使い回しは絶対にだめです。それ以外のパスワードは、自分で考えるより、ブラウザが自動で作る完全にでたらめなものを使い、ブラウザに覚えさせるのがよい、と奥田氏は言います。ブラウザを常に最新にしておくことが前提です。

ブラウザに覚えさせる利点として挙げられたのが、フィッシング詐欺への備えでした。本物そっくりの偽のログイン画面は、ふつうの人には見分けがつきません。けれどもブラウザは、登録した本物のサイトと違えば、パスワードを入れようとしないので、偽物だと気づかせてくれる。これはブラウザにしかできない働きだ、ということでした。

家庭や職場のWi-Fiルーターも、常に最新の版にしておくべきなのに、怠っているところが多いそうです。版を上げるだけなら、エンジニアでなくてもできることがある、という指摘は、私たちにも耳が痛いところです。

経営者は何に気をつければよいか。奥田氏の答えは、自分の会社がどんな情報を持っているかを常にはっきりさせておくこと、でした。それはどういう情報か、誰が管理しているか、どんな認証がかかっているか。毎月確かめてもよいくらいだと言います。さらに言えば、使っている仕組みの版が最新か遅れているかにまで関心を持てれば、なおよい、と。

エクスチェンジャーズからの知らせとしては、止めていたサービスがこの日までに安全に復旧したこと、AIエージェントによる決済の取り組みは、しばらく守りに徹しつつも続けていくこと、などが語られました。

なかでも私たちの暮らしにかかわるのは、本人確認のやり方の変更です。これからは、免許証の写真を撮って送るだけでは本人確認ができなくなり、マイナンバーカードなどのICチップをスマホにかざして読み取らせる方式に切り替えていくといいます。すでに本人確認を済ませた人はそのままでよいそうです。

理由は、ディープフェイク（AIによる偽の画像や動画）の進歩です。免許証の画像が漏れれば、それを手に持った自分の顔写真のような偽物を作れてしまう。手元のパソコンで動かせる動画生成のAIも出回っています。漏れた情報を突き合わせれば、どのお年寄りが地方で一人暮らしか、といったことまで分かってしまう。竹田氏は、ここ一か月の個人情報の流出は合計で3億件に上るという集計に触れ、日本の人口をはるかに超える数だと嘆いていました。

番組の終わり近く、竹田氏は、飛行機に乗ったらQRコードが使えず紙の券を渡された話をしました。最後はアナログなのだ、と。日本がこれを機にデジタル化で足踏みするのか、それでも進めていくのか、分かれ目の時代なのかもしれない、と二人は語り合います。

奥田氏が気にかけていたのは、日本が足踏みしたとき、新しいことに挑めなくなったエンジニアが海外の仕事に移り、日本がさらに遅れていくことでした。そのうえで、エクスチェンジャーズとしては、大事なところはアナログで着実に管理しつつ、先端のことにも挑み続けたい、と結びました。同社が一番漏れてはならないものとしている現物の金や宝石は、誰も知らない金庫に収められているそうです。

AIが人の見逃した穴を一瞬で掘り当てる時代になりました。けれども、それに立ち向かう守りの要として語られたのは、磨き上げた軍艦であり、整えられた手術台であり、枕元のスマホでした。掃き清め、点検し、呼ばれたらすぐ動く。日本人が昔から大切にしてきた構えが、いちばん新しい戦場でも試されているのだと感じます。私たち一人ひとりも、まずはパスワードの使い回しをやめるところから始めたいと思います。

番組で語られたことのうち、事実にかかわるものを、公式の発表と報道で確かめました。記録で確かめられることと、記録からは分からないことを分けています（10月30日時点）。

高市首相がXで対応を呼びかけた
【報道で確認】10月21日22時ごろ、「今夜に対応して頂きたい大至急のお願い」と投稿。直せない場合のサイト一時停止にも触れた

修正版は日本時間の夜11時に出ると予告された
【報道で確認】PHPの開発チームは21日14時（世界標準時）、つまり日本時間23時の公開を予告していた

公表は10月21日の日本時間14時ごろ
【一部異なる】記録では、予告は20日（世界標準時）に出ている。「14時」は修正版の公開時刻（世界標準時）と重なる。番組の言い違いの可能性

世界のウェブサイトの7割ほどがPHP
【報道で確認】W3Techsの集計で約7割（69.3％）。ただし「サーバー側の言語が判別できたサイトのうち」の割合

認証なしでリモートコード実行ができる
【報道で確認】深刻度は10点中9.2の重大な脆弱性2件（CVE-2026-109618／109619、通称PHP2Shell）。設定によってはログインなしで外部からプログラムを実行できる

弱点は2024年ごろに人間が見つけていた
【一部確認】2024年の外部監査で一方の欠陥の兆しが出ていた。修正が何か月も止まったのは、互換性や性能との兼ね合いを小さなチームで量りかねたため、とされる。「悪用は無理と見て後回し」という理由づけは記録からは分からない

穴を見つけたのはAI
【報道で確認】OpenAIのAIが発見したと報じられている

中国などの歯止めのないAIで、悪用する者が先に見つけた
【確認できず】公開前に詳細が漏れ、開示の4日前に悪用の試みがあったとの報告はある。誰がどうやって見つけたかは記録からは分からない

修正版の前に、研究者が攻撃のデモを公開した
【報道で確認】公開前に技術の詳細が漏れ、概念実証（攻撃のやり方を示すコード）も出回ったと報じられている

攻撃が成功したという報告はまだない
【報道で確認】攻撃の試みは多数報告されているが、公に確認された侵害の成功例は報告されていない（執筆時点）

GMOは課題を把握しながら経営が後回しにした
【一部確認】代表がブログで「事前に指摘されていた」と認め、対応が十分でなかったとした。指摘の中身と後回しの理由は未公表

GMOは身代金を求められ、個人情報をさらされた
【報道で確認】80億円を要求され、GMOは応じないと表明。27日正午に個人情報1件が公開されたとの報道がある

攻撃者の声明は一般のサーバーに出ており、不自然
【確認できず】番組の見立て。声明の出し手が本当に攻撃者かは確かめられていない

ここ一か月の個人情報の流出は合計3億件（しんぶん赤旗の集計）
【確認できず】元の記事に当たれていない

Googleの技術、Node.jsの圧縮の部品にも脆弱性
【確認できず】この件は今回確かめていない。なお、Node.jsはGoogleの製品ではなく、その中で動く仕組み（V8）がGoogle製。言い方には確かめが要る

◆ 出典
・☆竹田恒泰の『それいけ！エクスチェンジャーズ』第37回☆（YouTube、10月29日配信）
・J-CAST ニュース｜高市首相「今夜に対応して頂きたい大至急のお願い」PHPの脆弱性で呼びかけ
・GIGAZINE｜PHPに深刻度「9.2」の脆弱性が2件発覚、緊急パッチを10月21日に公開へ
・ギズモード・ジャパン｜結局“PHP騒動”って、何があったの?
・INTERNET Watch｜高市首相がPHPの脆弱性対応を呼びかけ（AIによる発見にも触れる）
・Recorded Future｜PHP2Shellの悪用：PHPの2つの重大な脆弱性を解説
・Dealroom｜PHP ships emergency patches for critical php2shell flaws（2024年の監査と修正の遅れ）
・Computing｜PHP2Shellの悪用の試みと、成功例が確認されていないこと
・Impress Watch｜GMO不正アクセス、犯人が27日12時の利用者PC攻撃を予告 80億円の金銭要求
・ITmedia NEWS｜GMO熊谷代表「社内ホワイトハッカーが事前に指摘」も対策遅れ
・GMO攻撃者が個人情報1件を公開（27日正午の状況）

姓名科学のページ
牧正人史先生が昭和三十三年に発見された姓名科学の体系を、デジタルの形で遺す仕事を続けています。
▶ 姓名科学の殿堂へ　▶ お名前を解析する

AIと人の創作の関係については、UCA（新しい知財の構想）として提言をまとめています。▶ 提言を読む

この記事の正本は「おてんとうさまの下で」にあります。▶ 記録の一覧から読む

#PHP　#PHP2Shell　#GMO　#サイバーセキュリティ　#ゼロデイ　#パスキー　#竹田恒泰　#エクスチェンジャーズ　#情報の見極め

生かされて今を存在する