# 小学生でもわかる「PHPの脆弱性」――何が起きた？なぜ止めた？ニュースの流れをやさしく解説 ハレリヤ、ひでやきのゴスペルラジオ、ひでらじ。このチャンネルはフリーランスボックスで、教員のひでやきが様々なトピックでお話していきます。 今日は気になるニュースということで、時事ネタをいきたいと思います。 連日ですね、報道されていますけれども、PHPというですね、 インターネット上のウェブサイトを動かす システムにですね、脆弱性が見つかったということで、それを対応するために多くの ITサービスがですね、一時休業、休止状態というのがね、相次いでいるというような報道が今あると思うんですけれども、そのニュースについてお話したいと思います。 私もですね、報道を見ていたんですけれども、実はですね、自分の職場の連絡ツールですね、私は学校に勤めているんですけれども、保護者と学校の連絡ツールにこのPHPを使っておりまして、 このですね、報道が出て以来ですね、今日2日目になるんですけれども、 まだですね、復旧せずにサービスが使えない状態になっているということでですね、 より身近にこのニュースを感じて取り上げてみることにしました。 さあ皆さん、改めてPHPってどんなシステムであるかって説明できますか? 私もですね、よくわからずにニュースを聞き流してたんですけれども、改めて調べてみました。 PHPとはウェブサイトを裏側で動かすためのプログラミング言語だそうです。 今回ですね、例えると、悪い人がコンピューターに勝手な命令を出せてしまう弱点が2つ見つかりました。 家でいうと、鍵を持ってない人でも入り込める入り口が見つかったようなものです。 今回のですね、報道ですね、時系列でちょっとですね、説明したいと思います。 10月21日の水曜日、日本時間の未明ですね。 危ない弱点があるというようなね、最初の第一歩がありました。 正式な発表よりも前にですね、このPHPを扱っている企業よりも前にですね、 弱点についての情報がインターネットに広まりました。 間違った情報も混じっていたために、PHPを作っている人たちは、直すための新しいバージョンを予定より早くリリースすることにしました。 サイトを管理する人たちへのお願いは、今夜直したものを出しますので、すぐ取り替えられるよう準備をしてくださいという内容でした。 そして同じく、21日水曜日の昼頃から夜まで、多くの人たちはですね、直すまでお店を閉めようという対応になったわけですね。 日本でもニュースの報道が広がり、いろいろなサイトが一時的に使えなくなることを知らせました。 高市首相からも急いで確認対応するよう呼びかけがありました。 これはお店の入り口に危ないところが見つかったので、修理が終わるまで店を閉めます。 一時閉店しますというようなものです。 大事なのはサイトが止まったからといって、すでに泥棒に入られたとは限らないことです。 被害を防ぐために自分たちで自らですね、自主的に停止したサイトもありました。 そして21日の水曜日の夜遅くですね、 夜11時頃、弱点を直した新しいPHPがオフィシャルから公開されました。 サイトの管理者たちはですね、古いものを新しいものに取り替える作業を早速始めました。 ただし、直す道具ができたことと世界中のサイトが直し終わったことは別です。 取り替えた後、サイトがきちんと動くか確かめる時間も必要になりました。 明けて22日木曜日、ニュースでは弱点が見つかってから発表されるまでの事情も説明されるようになりました。 正式発表よりも前に情報が広まってしまったこと。 一部で約束の時刻より早く修正版が配られたこと。 弱点を見つける作業にAIも使われていたこと。 つまり急いで直そうというニュースに加えて、発見や発表の裏側では何があったのかも報じられるようになったのです。 明けて23日金曜日、 世界の銀行や政府などが引き続きサイトを直していると報じられました。 作業のためまだ使えないサービスもありました。 一方、弱点を使って入り込もうとする通信が増えたという報道も出ました。 ただし入り込もうとしたことと本当に入り込めたことは違います。 実際の被害がどれくらいあったかはこの時点でははっきりしていません。 今回の流れを一言でまとめると、最初に弱点があることを知らせる。 そしてそれを受けてそれぞれのサイトが被害を防ぐためにサイトを一時停止する。 そしてPHPの該当の企業が直したものを配布する。 そして世界中でそれを受け取ってそれを取り替え作業に入っているという流れです。 23日現在でも直す修正の作業と安全を確かめる確認の作業がまだ続いているという状態です。 今回幸いですね、サイトの停止している企業が全て被害が出たというわけではなくて、どちらかというと予防的な措置としてしっかり新しいバージョンの方に変えて動作が安全に動作することを確認するまでの一時的な停止ということで、 実際にこの止まっているものイコール被害が出たということではないということですね。 そのあたりは少し希望が持てるんですが、 今回世界規模のこのような報道でやはりサイバー攻撃というものの恐ろしさと、そうなってしまったときに本当にオンライン上に全てがある場合ですね、 本当に日常の業務が滞るということを私も必死と感じております。 今回先ほど学校のシステムということで保護者と学校の連絡ですね。 それに関する今までの連絡の履歴とかも見られなくなりますし、昨日、今日と学校からオフィシャルでウェブ上でのお知らせの配布をしていたんですけども、 それがこのウェブシステムが今使えないということで、学校からの連絡もデジタルではなくて紙配布という昔の少し何十年か前に戻ってしまうようなことがあって、 これは本当に長引いたら世界中が本当に大変なことになるし、これからもサイバー攻撃の可能性がある限り、 そういう毎日のときに対処できるような準備もしていかなきゃいけないなということを必死と感じております。 皆さんはいかがだったでしょうか。 ここで、ちなみに今回のPHPの件とは別に、多くの有名な企業はサイバー攻撃を受けて不正アクセスとかデータ流出というのが連日報道されているんですけども、 なんと、ちょっとこれ言っていいのかな、止められているわけではないので発表しますが、 なんと我らがこのボイシーの株式会社ボイシーにも不正アクセス、サイバー攻撃があったんですね。 こちらはオフィシャルのほうでは出ていないんですけども、該当者にメールが来ていました。 ボイシーカスタマーサポートから私も先日、3日ぐらい前にメールを受け取ったんですけども、 実は、株式会社ボイシースタディオ株式会社というパーソナリティー用のアプリを扱っているほうの会社ですかね。 これ多分ボイシーから委託されて、今日も行っている会社だと思うんですけども、 実はパーソナリティーがパーソナリティーになる際に応募フォームで応募するんですけども、 そこの運用されているウェブサイト、製作サービススタディオ株式会社のクラウド環境に第三者にいる不正アクセスがあり、 当社の審査応募フォームにご入力いただいた情報が外部に流出した可能性があることが判明しましたということで、 ボイシーのパーソナリティーになるための応募フォームに入力した内容が流出した可能性があるということで、 ご心配とご迷惑をおかけしましたことを深くお詫び申し上げますということで、 これ多分該当者のみにメールが出されていると思うんですが、 対象は2023年11月24日から2026年10月14日までにボイシーのパーソナリティー応募フォームから応募いただいた方にお送りしていますということで、 私は2025年9月21日にパーソナリティーになりまして、 それ以前に6回応募フォームを出してますので、バッチリこれに該当するわけですね。 どんな経緯だったかというと、スタディオ株式会社によると、 当社サービスの一部機能の脆弱性が悪用され、 2026年9月30日から10月1日にかけて、 当社のクラウド環境へ不正アクセスがあったそうです。 環境内のデータは10月14日に当社が対処するまで外部から取得できる状態になりました。 ほぼ2週間、不正アクセスの事実が発見されていなかったということですね。 フォームの送信内容は暗号化して保存されていましたが、 複号に必要な鍵も読み出されたため、内容を知られた可能性があります。 現在、脆弱性はすでに修正され、不正アクセスの経路も遮断されているということです。 ボイシー社はスタディオ社から10月16日に報告を受けたそうです。 現時点で情報が実際に第三者に取得された事実や不正利用は確認されていないということです。 二次被害の有無は、スタディオ株式会社が引き続き調査しており、 ボイシー社では情報が取得されたものとみなして対応を進めているということですね。 流出した可能性のある情報 審査応募フォームにご入力いただいた次の内容です。 名前、パーソナリティ名、メールアドレス、SNSアカウントのURL、 運営されているコミュニティの情報、これはGoogleフォームに応募する人が入力するものですね。 配信スタイル、配信内容、放送頻度、ボイシーの活用目的、自由記述欄を含む回答内容、 Podcast番組配信応募の場合は、RSSフィードURL、これはPodcastのほうの別の応募もあるんですね。 サブチャンネル応募の場合は、現在のボイシーチャンネルのURLということですね。 今回のこの流出の対象にならないもの、ボイシーアプリのほうですね。 皆さんがお聞きいただいているボイシーアプリの会員情報や放送データや支払い情報などは別システムで管理しているので、 本県の対象ではないそうです。これは安心ですね。 また、ボイシーのサービスや当社のシステムへの不正アクセスも確認されていないということです。 本県のStudioはパーソナリティ向けアプリ、ボイシーStudioとは別のサービス、そうなんですね。 私はてっきりパーソナリティアプリのボイシーStudioのことかと思っていたんですが、別だそうです。 今回の応募フォームの県を管理している別の会社ということですね。 ですので、また本県が審査や配信に影響することはないということです。 注意しなきゃいけないのは、この県に便乗して、ボイシー社やStudio株式会社から それを装った不審なメールやSNSや電話やSNSのメッセージが届くおそれがあり、 その審査結果やチャンネル開設のご案内で、金銭のお支払いやパスワード、クレジットカードの入力をお願いすることはありませんということで、 二次被害を予防するということが書かれていますね。 今後、Studio社と外部サービスの連携を解除・再設定し、管理アカウントの整理とパスワードの変更を行ったということです。 関係法令に基づき、個人情報保護委員会への報告を進めているということですね。 問い合わせ窓口が書けてあります。 この度はご心配とご迷惑をおかけしますことを重ねて深くお詫び申し上げますということで、 なんと我らがボイシー社にも一部、サイバー攻撃のキノコが及んでいたということが判明しました。 そして私も6回も応募している、応募関係のデータが流出しているということが分かったということで、 一般のリスナーさんには透明なところ、関係のないところですけれども、 該当者に当たる私としては、本当にちょっと心穏やかではない情報なんですが、 今ですね、のきなみ、世間で皆さんが知っているような有名な企業がのきなみ、サイバー攻撃を受けていて、 こういう個人情報の管理に関して私たちが認識を改めていかなければいけない時代になったなと思っております。 ということで今日は気になるニュースということで、PHPをめぐる報道とその解説をさせていただきました。 どなたかの参考になれば幸いです。 週末になりました。今日は土曜日ですけれども、今日も一日皆さんの生活が豊かに祝福されるようにお祈りしています。 God bless you.