PHPの脆弱性2件でWordPressは大丈夫？管理者権限の話を堀江貴文さんの動画で整理

出典: 【緊急】「PHP」に“致命的”な脆弱性が2件見つかった件について解説します

ニュースで、PHP に致命的な脆弱性、という見出しを見かけたら、どう思いますか？ PHP という名前に聞き覚えがなくても、気になるのは、それが自分のサイトの話なのか、それとも遠い話なのか。まずは、そこですよね。

動画は、緊急で回している、という切り出しから始まります。テーマは、ウェブサイトを簡単に組み立てるための言語、PHP の脆弱性。

堀江さん自身はふだん Perl を使っていて、PHP はあまり触ったことがない、と最初に断ります。それでも伝えるのは、使っている側がそれだけ多いから。

堀江さん（動画 0:25〜）

この、ま、ま、世界のウェブサイトの7割ぐらいがこのPHPを使って、え、構築されてるという風に言われております。

話は、レンタルサーバーに PHP を入れて、自分たちでサーバーを組んでいる組織の人に向けた呼びかけへ進みます。ぜひ聞いてほしい、と。

深刻度は、その基準の最新版で9.2。9以上はクリティカルという分類で、今すぐ穴を閉じてほしいレベルだと、堀江さんは話します。

堀江さん（動画 1:00〜）

このCVSの最新版で、え、9.2というですね、もう9以上は、あ、ま、クリティカルという分類になっておりまして、今すぐ、え、セキュリティホールを閉じてくださいと、あ、そのレベルの、え、脆弱性が発見されたということなんですけれども

影響は、WordPress などの CMS を含め、ほとんどのバージョンに及ぶだろう、という見立て。最新版を使っていても悪用され得る、とも話します。

堀江さん（動画 1:34〜）

ほとんどのバージョンで影響を受けると思っておりますけれども、ま、最新版を使っていたとしてもこの脆弱性が、え、ま、悪用されてですね

続いて、サーバーにリモートで入られ、最上位の権限、つまり管理者権限まで取られる、という説明へ進みます。この回の中心は、ここから先です！

正直、この回でいちばん重いのは、最新版にしていても安心できない、と言っている所です。更新していれば大丈夫、では済まないんですよね。

ただ、7割という数字も、9.2という数字も、堀江さんが話した数字です。大きな数字ほど、聞いた話のまま事実として覚えてしまいやすいんです。

数字の大きさに引っぱられて、先に慌てるのは避けたいんです。どこまでが聞いた話で、どこからが自分で見た話か。そこを分けておくだけで、次の一手が選びやすくなります。

で、私の側の事実を1つだけ書いておきます。このブログ ai-kidou.jp は、WordPress で動いています。

だから、この話は手元のサイトの話として読みたいんです！ 遠いニュースとして流すのとは、違う向き。

そのうえで、PHP の公式の告知は、これから自分の目で確かめます。影響の範囲を、自分の手元と突き合わせるためです。

ご自分のサイトやブログが、何の上で動いているか、知っていますか？

穴が空いたまま放っておくと、何を失うのでしょう？ データが消えるだけで済むなら、まだ取り戻しようもあります。この回が話すのは、消えるだけでは済まない、その先。

堀江さんは、管理者権限を取られた後に起きることを、順に話します。スーパーユーザーとして入られると、サーバーでは全てのことができてしまうそうです。

堀江さん（動画 2:13〜）

そのサーバーに、え、管理者権限、スーパーユーザーでアクセスできてですね、ま、全てのことができちゃうと、全てのデータを消すこともできますし

1つ目は、データ。全てを消すこともできるし、盗んで外へ持ち出すこともできる、という説明が続きます。被害の形は1つでは終わりません。

話は、盗まれた物の行き先へ。例えに出てくるのは、パスワードや住所、電話番号が、ダークウェブでビットコインで取引される場面です。

2つ目は、踏み台にされること。不正攻撃の踏み台になったサーバーは、警察から見れば、攻撃している側のサーバーの管理者という扱いになる、と堀江さんは話します。

堀江さん（動画 3:38〜）

しかもですね、賠償責任負うこともある。ま、刑事的にそれは踏み台攻撃されただけなので、刑事事件では起訴されないと思いますけれども

捜索を受ける可能性も、賠償責任を問われる可能性も、十分にあるという見方。刑事事件では起訴されないと思う、と堀江さんは付け加えます。

いやー、消されるだけでは済まない所が重いですよね。盗まれて、そのうえ自分のサーバーが、加害の入り口にされてしまう順番。

被害を受けた側のはずが、責任を問われ得る側へ。ここが、この章でいちばん胸に残る所です！

家族やお客さんの個人情報は、守るものだと考えています。預かった情報が外へ持ち出される話は、他人事にできません。

でね、2026年8月31日の配信で、私は WordPress などを AI につなぐ時のことを話しました。アプリケーションパスワードをコピーして渡せばできる、という話です。

そのとき続けたのは、フックやハーネスをちゃんと設計しておかないと、という話。情報が漏れたり、誰でも見られる所に置いてしまったりする可能性は、ゼロではありません。

だから、ここから先は自分たちの責任でやらなくてはいけない、防ぐ仕組みを学んでからやってほしい、と話しました。

私の記事より（Gemini APIキー漏洩で722件の不正利用。Googleへの対応までAIに委ねて分かったこと・Googleには原則有効な請求と言われた、の段落の節）

Google側の基本説明は、認証情報の管理は利用者との共有責任であり、発生した利用は原則として有効な請求になる、というもの。

この一文が言っているのは、鍵の管理は使う側と分け合う責任で、起きた利用は原則そのまま請求になる、ということです。

堀江さんの、管理者が責任を問われ得る、という話と、同じ向きに読めるんですよね。どちらも、管理する側に責任が来るという点で重なります。

違いもあります。動画は、外から穴を突かれた時の話。私の発言は、自分がどこに鍵を置くかの話です。向きは違っても、守る責任が管理する側にある所は同じ。

鍵を持っているのは、自分です！

穴が見つかったその日に、穴を直すための修正も世に出ます。聞いただけだと、ほっとする知らせに思えますよね。でも、守る側にとって、それは本当に朗報なのでしょうか？ 話は、ここから修正の出し方へ進みます。

堀江さんは、PHP のセキュリティチームが、日本時間のその日の夜に、穴を直す修正プログラム、つまりパッチを出す予定だと話します。

堀江さん（動画 4:29〜）

パッチの内容、あの、全てソースコード公開されてるので、どういう脆弱性があるのか、その、ま、悪いことする人たちにもその場でその時点で、え、知れ渡ってしまう

ただ、パッチと一緒にソースコードも公開されます。どんな穴だったのかが、悪用する側にもその時点で知れ渡ってしまう、という説明なんですよね。

だから、出たら速やかに適用を。やり方が分からない時や、社内に技術者がいない時は、セキュリティ会社に緊急で問い合わせてほしい、と堀江さんは話します。

世界中のエンジニアが、今まさにこの件で緊急の対応をしているだろう、と話は続きます。見つかった脆弱性は、1つではなく2つ。

堀江さん（動画 5:16〜）

セキュリティホールが見つかってるということで、え、ま、どうやらですね、メモリを破壊する、ま、そういう形のですね、え、バグらしいんですけれども、まだ詳細は、え、発表されておりません。

どうやらメモリを破壊する形のバグらしい、というのは伝聞の段階で、詳しい中身は、動画の時点ではまだ発表されていません。

一方で、クラウドサービスを使っていて、WordPress や PHP を触る権限がない人は、管理している業者が対応するので心配しなくてもいい、と堀江さんは話します。

堀江さん（動画 5:47〜）

クラウドサービスを使っていて自分たちにその、え、ま、WordPressとかPHPとかを触る権限がない。ま、そういう場合はですね、あの、ま、対応しなくてその、え、クラウドサービスを作ってる業者さん、あの、管理してる業者さんが対応しますので、そちらの方は心配しなくてもいいんですが

正直、この回の芯はここ。直す手段が出る日は、穴の中身が世に知れ渡る日でもあるんですよね。

守る側と攻める側が、同じ時刻に、同じ情報を手にします。ここから先は、時間の競争。

私の記事より（情報漏洩に備えて、データを預ける前に預け先の責任範囲を自分で確かめる・まとめ。預ける前に、責任範囲の文を自分で読む、の段落の節）

私が付け足すのは、1点だけです。顧客名簿や請求情報を預ける前に、預け先が書いた責任範囲の文を、自分の目で読みます。

預ける前に、預け先が書いた責任範囲の文を、自分の目で読んでおく。

堀江さんの、クラウドの人は業者が対応する、という話も、私には地続きに見えるんです。自分が持つ部分と、業者が持つ部分。そこを分けて見る話ですよね！

動画は、パッチを当てるか、業者に任せるかの話です。

だから、心配しなくてもいい、で終わりにはしたくないんです。自分が借りている先は、PHP の更新をどこまで担当しているのか。借りているサーバーの責任範囲、読んだことありますか？

読んでも分からなければ、想像で安心せずに聞きます。

私なら、借りている先に、パッチを当てる担当がどこまでかを、先に聞いておきます！

パッチが出るのを待つ間にも、手元でできる守りはあります。サーバーを触れない人にも、です。では、どこから手を付ければいいのでしょうか？ 動画の後半は、ここからAIの話に入ります。

堀江さんは、AIを使った脆弱性のチェックで、今まさに侵入されている所がある、と話します。狙われているのは、古いまま放置された所です。

堀江さん（動画 6:11〜）

AIを使った脆弱性チェック、既存のね、このPHPの今回の問題みたいな最新の対策ではなく、過去のですね、パッチとか全然当ててない、そういった業者もいっぱいあるので、そういったところにどんどん今侵入されております。

今回のような最新の穴ではなく、過去のパッチを全然当てていない業者がたくさんあって、そういう所が次々に入られているという話。

そして、堀江さん自身が使っているニュースレターのサービスも、実はいま止まっている、と明かします。動画を撮っている時点での話です。

堀江さん（動画 6:33〜）

ニュースレターサービスをやってるサービスも今止まってます。え、何が原因かちょっとまだ知らされておりませんけれども、我々は管理者権限をないので、え、ユーザーとして使ってるだけなのでどうにもできないんですけれども

原因は、まだ知らされていないそうです。管理者権限がなく、ユーザーとして使っているだけなので、どうにもできない、という話。原因が今回の件かどうかは、堀江さんも言っていません。

そのうえで勧めるのが、パスキーと2段階認証。メールアドレスの流出くらいなら、スパムが来る程度で済む、と堀江さんは話します。

一方で、証券会社や銀行の口座、ポイント、ビットコインは、直接盗まれてしまう可能性が高いので、今すぐ入れてほしい、と堀江さんは呼びかけます。

堀江さん（動画 7:40〜）

証券会社だったりとか、銀行の口座だったりとか、ポイントだったりとか、え、ビットコインだったりとかそういったところはですね、え、直接全部盗まれてしまう可能性が高いので、そういったところは是非2段階認証システムパスキーシステムを、え、導入今すぐやってください。

管理者権限を持たない側にできるのは、自分のログインを固めることだけ。ニュースレターが止まった話は、そこへの入り口なんですよね。

サーバーの中は、借りている側からは見えません。手が届くのは、自分が入る時の鍵の所なんです。

2026年10月16日に、私は、会社の会計ソフトの2段階認証を、Android のスマホの認証アプリで設定しました。

私の記事より（パスキーとは？偽サイトでは2段階認証のコードが通り、パスキーは使えなかった。ウェブ職TVの動画で確認・読み終えたらできること、の段落の節）

注意することを増やすだけで終わらせず、仕組みで止まる所を増やしましょう。

注意を増やして終わらせずに、仕組みで止まる所を増やすこと。

2段階認証もパスキーも、気をつけていなくても止まる所を1つ足す手なんです！ 堀江さんの、今すぐ入れてほしい、という呼びかけとも、ここで重なります。

AIで穴を探すのが速くなるほど、人の注意だけに頼るのは心もとないと、私は思います。

動画は、お金に直接つながる口座から、という順番の話。私の記録は、1か所で設定した、という点の話にとどまります。

パスワードが漏れても、その先で止まる所があるかどうか。分かれ目は、そこですよね？

私なら、お金に直接つながる所から順に、止まる仕組みを1つずつ足していきます！

動画は、PHPの深刻度9.2の脆弱性から始まります。管理者権限を取られた時の影響、当日23時のパッチ、2段階認証とパスキーへと、順に進みました。

私が持ち帰ったのは、堀江さんが話したことと、私が確かめたことを分けて持つ、という構えです。事実として書くのは、確かめた所だけ。

守る責任は、管理する側にあります。だから私は、自分の鍵を誰が持っていて、どこで止まる仕組みがあるかを、自分の目で見に行きます！

今日、自分のログインのどこに、止まる仕組みを足せそうですか？