2026年10月21日夜から22日にかけて、日本では複数のWebサービスやレンタルサーバーが、重大な脆弱性への対応として緊急メンテナンスや予防的なサービス停止を実施しました。
背景には、世界中のWebサイトで利用されているプログラミング言語「PHP」で、重大な脆弱性が公表されたことがあります。
今回修正された2件の脆弱性は、条件がそろうと、攻撃者が認証なしでサーバー上のコードを実行できる可能性があるものでした。PHP開発チームは10月21日に修正版を公開し、早急なアップデートを呼びかけています。
一方、日本の情報セキュリティに関する注意喚起などを行う独立行政法人情報処理推進機構（IPA）は、事前の発表で、これらの脆弱性を悪用した攻撃が確認されたという意味ではないことを明記しています。
つまり、サービスが一時的に停止したことと、実際に攻撃を受けたり、情報が流出したりしたことは同じではありません。安全を確保するために、予防的にサービスを止める判断もあります。
今回の出来事は、普段何気なく利用しているデジタルサービスが、多くの技術と、それを維持する人々によって支えられていることを改めて示しました。
同時に、もう一つ考えておきたいことがあります。
AIによって、サイバー攻撃を行う側の能力も変わり始めているということです。
これまでなら専門知識や多くの時間を必要とした作業の一部が、AIによって高速化・自動化されつつあります。
そのような時代に、私たち個人は何を守り、どこまで対策すればよいのでしょうか。
CORE SPECでは、セキュリティを「高価な対策ソフトを導入すること」だけではなく、侵入されにくく、被害が広がりにくく、万一のときにも復旧できる環境を設計することだと考えます。
目次（Table of Contents）
まず結論｜個人が優先すべき7つの対策
| 対策 | 守るもの | 優先度 |
|---|---|---|
| ① OS・ソフトウェアを更新する | PC・スマホ・ルーター | 最優先 |
| ② パスキー・多要素認証を使う | 重要なアカウント | 最優先 |
| ③ パスワードの使い回しをやめる | 各種ログイン情報 | 最優先 |
| ④ 怪しい連絡は別経路で確認する | 個人情報・決済情報 | 高 |
| ⑤ 復元できるバックアップを作る | 写真・作品・仕事のデータ | 最優先 |
| ⑥ 保護機能と通知を設定する | 端末・不正アクセス・決済 | 高 |
| ⑦ AIツールのアクセス権限を管理する | ファイル・クラウド・認証情報 | AI利用者は高 |
すべてを一度に完璧にする必要はありません。
まずは、自分が使っている機器やサービスを把握し、重要度の高いものから対策することが出発点です。
1. PHPの重大脆弱性は、なぜ個人にも関係があるのか
2026年10月21日、PHP開発チームは以下の2件の重大な脆弱性に対応しました。
- CVE-2026-109618
- CVE-2026-109619
修正版として、PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。
どちらも、脆弱なサーバーで認証なしのリモートコード実行につながり得る問題です。
ただし、ここには重要な区別があります。
PHPの脆弱性と、個人のPCの感染は別問題
PHPは主にWebサーバー側で使用される技術です。
あるWebサービスがPHPの更新のために停止したからといって、そのサービスを閲覧したすべての人のPCが感染したという意味ではありません。
個人が取るべき行動は、置かれている立場によって異なります。
| 立場 | 必要な対応 |
|---|---|
| Webサービスの一般利用者 | 公式のお知らせを確認し、実際の情報漏洩通知があれば案内に従う |
| レンタルサーバー利用者 | 事業者の更新状況と、自分が管理するアプリ・CMSの状態を確認する |
| 自分でサーバーを管理する人 | PHPや周辺ソフトの影響範囲を確認し、適切な修正版を適用する |
| WordPressなどを運営する人 | サーバー側の対策に加えて、CMS本体・プラグイン・管理アカウントも管理する |
サーバー側の脆弱性は、利用者がウイルス対策ソフトを追加するだけで解決できるものではありません。
自分で守れる範囲と、サービス提供者に委ねている範囲を理解すること。 それ自体がセキュリティ設計の一部です。
2. AIの普及によってサイバー攻撃はどう変わるのか
AIによってすべてのサイバー攻撃が新しく生まれたわけではありません。
不正ログイン、フィッシング、マルウェア、脆弱性の悪用は以前から存在しています。
変化しているのは、それらの攻撃を準備・実行するための効率や、使える手段です。
英国の国家サイバーセキュリティセンター（NCSC）は、AIがサイバー侵入の一部をより効率的にし、脅威の頻度や強度を高める方向に作用すると評価しています。
また、Google Threat Intelligence Groupは2026年9月、攻撃者がAIによる自動化やエージェント型の処理を攻撃活動に組み込んでいる事例を報告しました。
今回のPHP脆弱性も、AIを活用した研究から発見された
実は、今回のPHPの重大な脆弱性の発見にもAIが関わっています。
セキュリティ企業Wizの研究チームは、Wiz Atlas、Gemini 4 Argon、GPT-5.6 SolなどのAIツールを活用し、PHP内部に存在していた脆弱性の発見と検証を進めました。
Wiz Researchによれば、最初の脆弱性は2026年8月19日に発見され、8月24日にPHPのセキュリティチームへ報告されています。その後、関係者による修正と検証を経て、10月21日に修正版が公開されました。
これはAIによって攻撃が実行された事例ではなく、AIを活用した研究者が脆弱性を先回りして発見し、修正につなげた事例です。
一方で、同様の技術は攻撃の効率化にも利用され得ます。
つまり、AIはセキュリティを一方的に悪化させる技術ではありません。攻撃と防御の双方の能力を変化させる技術だということです。
変化①｜偽のメッセージが見分けにくくなる
従来のフィッシングメールには、不自然な日本語や明らかな誤字が見られることがありました。
しかし、AIを使えば、自然な文章や状況に合ったメッセージを短時間で生成できます。
そのため、「日本語がおかしくないから安全」という判断は通用しにくくなります。
変化②｜脆弱性を探す作業が高速化する
AIはコードの調査や修正を支援する一方で、攻撃者が脆弱性を探索したり、攻撃に必要な処理を自動化したりする用途にも利用され得ます。
もちろん、防御する側もAIを活用できます。
重要なのは、AIが攻撃側だけの技術ではなく、攻撃と防御の双方を変化させているということです。
変化③｜人間の判断そのものが狙われる
偽の電話、著名人のなりすまし、企業からの緊急連絡を装ったメッセージなど、相手を信用させる方法も高度化しています。
これからは文章や音声の自然さだけで、本物かどうかを判断しない方が安全です。
たとえば、家族や取引先から突然送金を求められたら、メッセージ内の連絡先ではなく、以前から知っている電話番号など別の経路で確認します。
AI時代に必要なのは、すべてを疑うことではなく、重要な行動の前に確認する手順を持つことです。
3. 個人が実施すべき7つのセキュリティ対策
① OS・ブラウザ・アプリを更新する
最初に取り組みたいのは、特別な製品の購入ではありません。
現在使用しているソフトウェアを更新し、既知の脆弱性が放置されないようにすることです。
確認対象には次のものがあります。
- Windows、macOS、iOS、Android
- Chrome、Edge、Firefox、Safariなどのブラウザ
- 普段利用しているアプリケーション
- ブラウザ拡張機能
- Wi-FiルーターやNASのファームウェア
- 自分が管理するWebサイトのCMS・プラグイン
基本は自動更新を有効にし、更新後に再起動が必要な場合は後回しにしすぎないことです。
サポートが終了したOSや製品も見直しましょう。
ただし、機器やソフトウェアの更新には互換性の問題が生じる場合があります。仕事で使用する特殊なソフトや制作機材は、バックアップと対応状況を確認したうえで計画的に更新します。
② パスキー・多要素認証を利用する
次に守りたいのは、アカウントです。
特に重要なのは、メールアカウントです。多くのWebサービスでは、パスワードの再設定や認証通知にメールを利用しているからです。
Google、Apple、Microsoftなどの主要アカウントでは、対応していればパスキーを検討してください。
パスキーは、偽サイトにパスワードを入力させるタイプの攻撃への耐性を高められる認証方法です。
パスキーに対応していないサービスでは、多要素認証を有効にします。
重要なのは、認証方法を強化すると同時に、紛失や機種変更に備えて復旧手段も確認することです。
③ パスワードの使い回しをやめる
同じパスワードを複数のサービスで使用していると、一つのサービスで認証情報が漏れた場合に、ほかのサービスも狙われる危険があります。
パスワードを使う場合は、サービスごとに異なる十分長いものを設定します。
多くのパスワードを記憶する必要はありません。パスワードマネージャーを利用すれば、複雑で固有のパスワードを管理しやすくなります。
優先して見直したいのは、メール、金融機関、ネットショップ、クラウドストレージ、SNSのアカウントです。
④ メッセージの内容だけで信用しない
フィッシングやなりすましを完全に見抜こうとするのは難しいことです。
そこで、相手を見抜くことより、重要な操作の確認手順を決めておきます。
例えば、金融機関や配送業者を名乗る連絡が届いた場合、メッセージ内のURLからではなく、公式アプリや普段利用しているブックマークから確認します。
また、ログイン確認コードや復旧コードは、たとえ相手がサポート担当者を名乗っていても安易に教えないようにします。
AIによる自然な文章や音声が増えても、この確認手順は有効です。
⑤ 復元できるバックアップを作る
写真、動画、研究データ、制作ファイル、仕事の成果物。
こうしたデータには、同じ機器を購入しても取り戻せない価値があります。
バックアップでは、元のデータとは別の場所にもコピーを保持することが重要です。
例えば、PC内のデータを外付けストレージとクラウドの両方に保存する方法があります。
ただし、クラウド同期はバックアップと同じではありません。誤削除や破損が同期される場合があるため、過去の状態に戻せる履歴や、元の機器から独立したコピーが必要です。
外付けストレージはバックアップ後に取り外す、あるいは不変バックアップなどの仕組みを利用することで、ランサムウェア被害時の影響を抑えやすくなります。
そして最も大切なのは、保存して終わりではなく、実際に復元できることを確認することです。
内蔵SSD・外付けSSD・NAS・クラウドストレージそれぞれの役割と使い分けについては、以下の記事で詳しく整理しています。
SSD・NAS・クラウドストレージの使い分けと安全な保存設計を見る →
⑥ 標準の保護機能と異常通知を活用する
Windows 11には、Microsoft Defender ウイルス対策やファイアウォールなどの保護機能が標準で用意されています。
一般的な個人利用では、これらを適切に有効化し、OS更新と安全な利用方法を組み合わせることが基本となります。
高価なPCだからといって、有料のウイルス対策ソフトが必須になるわけではありません。
加えて、以下も確認してください。
- ストレージ暗号化や画面ロック
- 不要なリモートアクセス機能の停止
- アカウントの不審なログイン通知
- クレジットカードや銀行の利用通知
- 利用していないサービスや端末の登録解除
対策ソフトの選び方は、既存の「ゲーミングPCにウイルス対策ソフトは必要？」で詳しく解説しています。
ゲーミングPCのウイルス対策ソフトとMicrosoft Defenderの選び方を詳しく見る →
⑦ AIツールやAIエージェントのアクセス権限を管理する
AI時代ならではの対策として、特に重要になるのがアクセス権限です。
従来のチャット型AIでは、人間が質問し、返答を受け取る使い方が中心でした。
一方、AIエージェントは、設定によってファイル、メール、クラウドサービス、外部ツールなどに接続し、実際の操作を行います。
これは便利ですが、AIが操作できる範囲が広いほど、誤操作や不正な指示の影響も大きくなります。
OWASPは、AIシステムに必要以上の機能・権限・自律性を与えることを「Excessive Agency（過剰な権限・自律性）」というリスクとして整理しています。
個人が実施したいのは、次の対策です。
- 必要のない外部サービス連携を解除する
- 読み取りだけでよい作業に、削除や編集の権限を与えない
- APIキーやパスワードなどの秘密情報を安易に入力しない
- AIが提案したコマンドやスクリプトを、内容を確認せず実行しない
- ファイル削除、送信、公開、購入などの重要操作には人間の確認を挟む
- 外部サイトや文書に書かれた命令を、そのままAIへの信頼できる指示として扱わない
最後の項目は「プロンプトインジェクション」と呼ばれる攻撃への対策にもつながります。
AIを安全に活用するためには、性能や便利さだけでなく、AIに何を許可し、どこで人間が判断するかを設計する必要があります。
AIエージェントの基本的な仕組みや、Chatbot・Workflowとの違い、Tool・Sandboxの設計思想については以下の記事で解説しています。
AIエージェントの仕組みとTool・Sandbox設計の基本を見る →
4. まず30分で実施したいセキュリティ点検
対策が多すぎると、かえって何も手を付けられなくなることがあります。
そこで、最初の30分は次の確認から始めることを推奨します。
| 順番 | やること | 目的 |
|---|---|---|
| 最初の10分 | OS・ブラウザの更新状態を確認する | 既知の脆弱性を放置しない |
| 次の10分 | メールアカウントのパスキー・多要素認証を確認する | アカウント乗っ取りを防ぐ |
| 最後の10分 | 重要データのバックアップ先と復元方法を確認する | データ消失への備え |
これは対策を完了するための時間ではなく、最初の点検に取りかかるための目安です。未設定の項目があれば、その後に実施してください。
5. もし被害に遭ったら、何から始めるべきか
セキュリティ対策を実施しても、すべての被害を防げるとは限りません。
だからこそ、被害が疑われたときの行動をあらかじめ考えておく必要があります。
アカウントを乗っ取られた場合
利用サービスの公式な復旧手順に従い、安全な端末からパスワード変更、セッションの失効、認証方法と復旧先の確認を行います。
メールアカウントが対象であれば、転送設定や連携アプリも確認してください。
PCのマルウェア感染が疑われる場合
被害拡大を防ぐため、状況に応じてネットワークから切り離し、重要な認証操作は別の安全な端末から行います。
業務端末であれば、自己判断で初期化する前に管理者へ連絡してください。
ネットショップや金融サービスに不審な利用があった場合
公式窓口からカードやサービスの利用停止・調査を依頼し、取引履歴や通知を保存します。
利用しているWebサービスで脆弱性が公表された場合
まずは事業者の公式発表を確認します。
サービス停止、脆弱性の存在、実際の情報漏洩はそれぞれ異なる状態です。
事業者から認証情報の変更や再設定などの案内が出た場合は、その指示に従って対応します。
まとめ｜守るべきなのはPCだけではない
PCの性能が向上し、AIによってできることが増える一方で、私たちがデジタル環境に預ける情報も増えています。
写真、作品、研究データ、仕事のファイル、金融情報、そして個人のアカウント。
それらは、単にパソコンの中に保存されたデータではなく、生活や仕事を構成する重要な資産です。
AI時代のセキュリティとは、すべての攻撃を完璧に防ぐ技術だけを意味するのではありません。
侵入されにくい環境を整えること。被害を広げないこと。そして、何かが起きても立て直せること。
その3つを日常のデジタル環境に組み込んでいくことが、これからの個人に求められる備えなのだと思います。
よくある質問
今回のPHP脆弱性で、自分のPCも危険になったのですか？ +
今回の脆弱性は主にWebサーバー側のPHPが対象です。該当するサービスを利用していたというだけで、個人のPCが感染したことにはなりません。利用サービスからの公式案内を確認してください。
AIによる攻撃が増えているなら、普通のウイルス対策ソフトでは不十分ですか？ +
AIが使われているかどうかにかかわらず、対策は多層的に行う必要があります。OS更新、アカウント保護、フィッシング対策、バックアップ、端末保護を組み合わせることが重要です。
パスキーを設定すれば、パスワードはすべて不要ですか？ +
サービスによって異なります。パスキーに対応していても、復旧用パスワードなど別の認証経路が残る場合があります。利用可能な認証方法と復旧設定をまとめて確認してください。
Google DriveやOneDriveに同期していれば、バックアップは十分ですか？ +
同期だけでは不十分な場合があります。誤削除や破損が反映されることもあるため、版履歴、復元機能、独立したバックアップを確認してください。
AIエージェントを使わなければ、AI特有の対策は不要ですか？ +
エージェントを利用していない場合、外部ツールの操作権限に関するリスクは限定されます。ただし、AIを使った偽メッセージやなりすましには、AIツールを利用していない人も注意が必要です。
公式情報・参考文献
- PHP開発チーム「2026年10月21日 セキュリティリリース」
https://www.php.net/archive/2026.php - IPA「PHPのセキュリティリリース公開予定について」
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - Google Threat Intelligence Group「From Prompting to Autonomy」
https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai - 英国NCSC「Impact of AI on cyber threat from now to 2027」
https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027 - CISA「Secure Our World」
https://www.cisa.gov/secure-our-world - OWASP「Excessive Agency」
https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ - CISA「How to Protect the Data that is Stored on Your Devices」
https://www.cisa.gov/resources-tools/training/how-protect-data-stored-your-devices - Wiz Research（2026年10月21日）「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」
https://www.wiz.io/blog/php2shell-php-rce - Google Cloud（2026年10月21日）「Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619」
https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619
情報確認日：2026年10月22日。セキュリティ情報や修正版の提供状況は変化するため、利用している製品・サービスの公式情報を確認してください。
次に確認しておきたいこと
個人の防御設計を整理したら、PCを長く安全・安定して使うための制作環境や、データを守るストレージ設計も確認しておきましょう。