PHPの重大な脆弱性『PHP2Shell』の影響について
2026年10月21日（日本時間）、PHPの開発チームが重大な脆弱性2件を修正するセキュリティリリースを予告しました。この脆弱性は「PHP2Shell」（CVE-2026-109618／CVE-2026-109619）と呼ばれており、CVSSは9.2です。
この脆弱性を悪用されることで、クレジットカード情報の漏洩、個人情報の流出、システムの乗っ取りによるサービスの破壊など甚大な被害が発生することが想定されます。
Tutterへの影響は？
直接的な影響はありません。
TutterはRubyというプログラミング言語で構築しており、PHPを利用していないため、直接的な影響はありません。
また、Tutterの課金で利用している決済サービスのStripeについても、現時点で本件に関する障害等の発表は確認されていません。
CVSSとは？
脆弱性の深刻度を数値で表す世界共通の採点基準です。
0.1〜3.9が「低」、4.0〜6.9が「中」、7.0〜8.9が「高」、9.0以上が「緊急（Critical）」に分類されます。
今回発表された脆弱性は最高ランクのクリティカルで、システムが掌握される可能性のある極めて重大なものとなります。
今回の脆弱性の影響について
ネット上では、既に脆弱性に関する情報が多数出回っており、英国のサイバー機関であるNCSCでは、脆弱性に対応しきれない場合、一時的にサービスのシャットダウンの検討を勧告しています。
NCSCは、英国の組織に対し、PHPを使用するシステムの即時更新への準備を促しています。即時修復が実現できない場合、組織はシステムを完全に緩和できるまでオフラインにすることを検討すべきです。
https://x.com/NCSC/status/2112848265074847828?s=20
日本国内でも、ソーシャルゲームから、行政サービスまで幅広く利用されているため、各サービスのメンテナンスにより予約サイトや申請などのサービスが停止することが予想されます。
既に出ている影響
国内の主要なサービスで対応・予防措置でサービスのメンテナンスや一時停止などの影響を確認しています。
| サービス名 |
|---|
| ウマ娘 プリティーダービー |
| グランブルーファンタジー |
| プリンセスコネクト！Re:Dive |
| ニコニコチャンネル |
| コドモン |
| エックスサーバー |
| さくらのクラウド |
プログラミング言語のPHPを使ってなければ安全なのか？
PHP2Shell自体はPHP以外には影響しません。ただし、同様の重大な脆弱性はどの言語やライブラリでも起こり得ます。今回はたまたまPHPであっただけで、今後、様々なプログラミング言語で同様の事例が増加していくのではないかと想定されます。
AIの高度化に伴い、便利になる一方で、従来では見つかりにくかったセキュリティ上の問題が露見して、攻撃に対して対応が後手となり情報漏洩やサービスの改ざん、停止による大きな影響がまだまだ続いていくことが懸念されます。
Tutterでのセキュリティ対策について
この世で100%完全なセキュリティ対策を講じることができるサービスは存在しないと考えています。それでも、可能な限りの対策を講じるのはサービス運営者の責任です
Tutterで行なっているセキュリティ対策の一部をご紹介します。
パスワードはハッシュ化して保存
パスワードは「ハッシュ化」という、元に戻せない形に変換して保存しています。万が一データベースの情報が流出しても、元のパスワードを割り出すことは非常に困難です。これにより、パスワードを他のサービスで使い回されることを防ぐことができます。
クレジットカード番号を預からない
Tutterにはサブスクリプションがありますが、Stripeという決済サービスを利用することで、Tutterではクレジットカード番号を保存せず、高度なセキュリティが担保されているStripeで管理することで漏れる情報を存在させない対応を行なっています。
総当りログインを対策
理論上、ログインフォームからランダムな数字を入力しまくると、いつかは登録されているユーザー情報でログインができてしまいます。これを総当たり攻撃（ブルートフォース攻撃）と言いますが、一定時間にログインフォームに入力できる回数を制限することで対策を行なっています。
積極的なバージョンアップ
Tutterでは、Rubyというプログラミング言語、Railsというフレームワークを利用しています。それぞれ、開発元が新しいバージョンを公開するため、積極的にバージョンを上げることで最新のセキュリティ対策が組み込まれたバージョンを利用するようにしています。
Tutterで利用している言語、フレームワークのバージョン
攻撃状況の可視化
セキュリティへの関心を持つ利用者の方に向けた、アクセス監視コンテンツも公開しています。直接的な対策というわけではありませんが、セキュリティに関心を持つための機能として公開しています。
最後に
最後まで読んでいただきありがとうございます。
人間が存在する限りセキュリティの問題は無くならないと思いますが、引き続き可能な限りセキュリティ対策に取り組んでいく次第です。
今後とも個人開発の釣果記録・共有サービスTutterをよろしくお願いします。
コメント 0件
まだコメントがありません