PHPに重大な脆弱性「PHP2Shell」が見つかり、サイバー攻撃に悪用されるおそれがあるとして、注意が呼びかけられている。
今回の問題を受けて、気になるのは普段から利用している「Amazon（アマゾン）」や「楽天市場は大丈夫？」という点ではないだろうか。
実際に、今回のPHPの脆弱性に関連して、一部のウェブサイトで一時的にアクセスできなくなったり、サービスを休止したりする動きも見られる。
ニュースでも取り上げられており、不安を感じている人も多いはずだ。
そこで今回は、Amazonや楽天市場などのネットショッピングサイトは大丈夫なのか？ということに加え、PHP問題の経緯などについても言及していきたいと思う。
目次
Amazon・楽天などのネットショッピングは大丈夫？
Amazon、楽天市場などのネットショッピングといった普段利用している場合は大丈夫？ということについて。
結論から言えば、今回確認できた情報だけで、楽天やAmazonのサービス全体が侵入されたと判断することはできない。
ただし、１００パーセント絶対に安全とも言い切れないのが現状だ。
Amazonへの影響は？
Amazonについては、少し複雑である。
今回、攻撃の形跡を確認したのはAmazon自身の脅威インテリジェンスチームだ。
Amazonは自社の観測システムで攻撃を検知し、PHP2Shellに関する情報を公開している。
ただし、これはAmazonの通販サイトが攻撃を受け、侵入されたという意味ではない。
今回の観測情報だけで、Amazonの通販サービスに被害が発生したと判断することはできないのだ。
また、AmazonのクラウドサービスであるAWSを利用している場合も、注意点がある。
AWSのサービス基盤そのものが今回の脆弱性の影響を受けるという話と、AWS上に利用者自身が構築したPHPのWebサイトが影響を受けるという話は別である。
例えば、AWS上にPHPを使ったWebサイトを構築している場合、そのサイトのPHPが脆弱なバージョンであれば、利用者側で更新などの対応が必要になる。
つまり、AWSを利用しているからといって、PHPの脆弱性まで自動的に解消されるわけではない。
楽天への影響は？
楽天グループはPHPを活用してきた実績があり、楽天市場関連の開発でもPHPが使われている。
しかし、2026年10月31日時点で、今回のPHP2Shell脆弱性に関する楽天グループの公式発表は確認できない。
そのため、楽天市場が実際に影響を受けるかどうかは不明となっている。
ちなみに筆者自身、Amazonや楽天市場などのネットショッピングサイトを普段から利用している。
今回の問題を知った後も両サービスを確認してみたが、今のところ、普段と変わった様子は感じていない。
Amazonや楽天での買い物や閲覧も、いつもどおり利用できている。
ただし、これはあくまで筆者が利用した範囲での話である。
通常どおり表示され、利用できているからといって、システム全体に問題がないと証明できるわけではない。
今回のような脆弱性では、一般利用者が画面を見ただけでは影響を受けているかどうかは判断できない。
また、今回の脆弱性はWebサイトの裏側で動くPHPの問題であるため、Amazonや楽天市場を普通に閲覧するだけで、直ちに利用者の端末が攻撃されるという話でもない。
ただし、仮にサービス側のシステムが侵入被害を受けた場合には、利用者への影響が生じる可能性もある。
というのも、公式のWebサイトであってもシステムが改ざんされ、異なるリンクへ飛ばされる恐れがあるからだ。
そうなると、公式サイトであれば大丈夫と油断し、公式サイトにある問い合わせ先や、購入ページも簡単には信用できなくなる。
なので、過度に不安になる必要はないが、公式発表やサービスからの案内には、いち早く気付けるよう常日頃から注意しておきたい。
PHP脆弱性問題の経緯
今回のPHP脆弱性問題は、PHPを使ってWebサイトやシステムを動かしている運営者にとっては、早急な確認が必要な問題である。
特に注意したいのは、脆弱性が公表される前から攻撃の形跡が確認されていたことだ。
Amazonの脅威インテリジェンスチームは、2026年10月17日、PHP2Shellを悪用しようとする攻撃の形跡を確認した。
これは、脆弱性が一般に公表された10月21日の4日前にあたる。
Amazonは、攻撃を観測・分析するためのおとりシステム「MadPot」で、この動きを確認したという。
さらに、10月21日には、脆弱性が正式に公表される前から攻撃方法を再現しようとする概念実証コードが確認されていた。
Amazonによると、最も早いものは日本時間の10月21日午前11時ごろに確認されている。
脆弱性が正式に公表されたのは同日の午後11時であり、それよりも前から攻撃に関連する動きが見られていたことになる。
その後、脆弱性が公表されると、新たな攻撃用コードがインターネット上に登場し、AWSの観測システムにも攻撃の試みが確認された。
Amazonは、公開後に攻撃の試みが広がっていると説明している。
ここで注意したいのは、攻撃の形跡が確認されたことと、実際に多数のシステムへの侵入が成功したことは同じではないという点だ。
10月17日に確認された攻撃についても、実際のシステムで成功したかどうかは、Amazonの発表時点では明らかになっていなかった。
この一連の動きは、産経新聞でも報じられている。
産経新聞：PHP欠陥公表前に悪用か 米アマゾン、攻撃形跡確認
また、Amazonの公式ブログでは、攻撃の観測内容や対策について詳しく説明されている。
Amazon AWS公式ブログ：PHP2Shellの公表前の悪用を確認
AIによって攻撃までの時間が短くなる可能性
今回の問題でもう一つ注目したいのが、AIの存在である。
Amazonは、脆弱性の情報や修正内容が公開されると、攻撃者がAIを利用して分析を進め、攻撃用プログラムを作成するための負担が小さくなっていると指摘している。
その結果、脆弱性の詳しい情報が公開されてから、早ければ数分以内に攻撃へ移れる場合もあるという。
以前であれば、脆弱性の内容を調べ、攻撃に使えるプログラムを作るまでに一定の時間が必要だった。
しかし、AIによってその作業が効率化されれば、脆弱性の公表から攻撃開始までの時間が短くなる可能性がある。
ただし、今回のPHP2Shellの攻撃で、実際にAIが使われたと確認されたわけではない。
Amazonが指摘しているのは、AIの進歩によって、攻撃者が脆弱性を悪用するまでの時間が短くなりつつあるということだ。
つまり、脆弱性が公表されてから数日後に対応すればよい、という考え方では危険な場合があるのだ。
影響を受けるのはPHPを利用しているシステム
今回の問題で確認すべきなのは、Webサイトやシステムが利用しているPHPのバージョンである。
PHPの開発元は、今回の脆弱性に対応した修正版を公開している。
修正版として案内されているバージョンは以下のとおりだ。
・PHP 8.4.27
・PHP 8.3.36
・PHP 8.2.35
使用しているPHPが、該当する系統の修正版より古い場合は、今回の脆弱性の影響を受けるため、更新が必要になる。
また、注意したいのは、PHP 8.1以前の古いバージョンを利用している場合である。
PHP 8.1以前は、すでに開発元による公式サポートが終了している。
IPAによると、今回の問題を調査したセキュリティ企業Wizは、PHP 5.4以降のバージョンについて、今回の2つの脆弱性のうち少なくとも一方の影響を受けると報告している。
そのため、古いPHPを利用している場合も、今回の問題と無関係ではない。
サポートが終了したPHPでは、開発元から新たな修正版が提供されないため、サポート対象のバージョンへの移行が推奨されている。
ただし、OSやサービスの提供元によっては、独自に修正プログラムが提供される場合もあるため、利用環境に応じた確認が必要だ。
WordPressもPHPを使って動作しているため、筆者のようにWordPressを利用している人も無関係ではない。
ここで気を付けたいのは、WordPress本体やプラグインを最新にしただけでは、サーバー側のPHPの脆弱性が解消されるわけではないという点だ。
自分でサーバーを管理している場合は、PHPのバージョンを確認し、修正版への更新を進める必要がある。
また、PHPの更新によってWordPressのテーマやプラグインに影響が出る場合もあるため、事前にバックアップを取り、動作を確認しておくことも大切だろう。
レンタルサーバーを利用している場合は、サーバー会社の案内や管理画面を確認するとよいだろう。
なお、Amazonも、今回の2つの脆弱性を完全に解消するには、修正版への更新が必要だと説明している。
設定の変更だけで、両方の脆弱性を完全に防ぐ方法はないという。
すぐに更新することが難しい場合でも、脆弱な状態のまま放置せず、サーバー会社などに相談しながら対策を検討したい。
まとめ
今回の問題を通じて、改めて考えさせられるのがAIの便利さと危険性である。
私たちは今、AI時代の真っただ中にいる。
文章の作成や情報収集、画像・動画の制作など、AIの登場によって生活のさまざまな場面が便利になった。
以前なら多くの時間や専門知識が必要だったことも、手軽にできるようになっている。
しかし、その反面、AIが悪用される危険性も大きくなっている。
AIを使った詐欺や偽情報の作成だけでなく、今回のPHP2Shellのように、脆弱性を突く攻撃の準備や実行が効率化される可能性もある。
今回の問題では、脆弱性が正式に公表される前から攻撃の形跡が確認され、その後、実際に悪用された脆弱性として米国の政府機関にも登録された。
技術が進歩すれば、それを悪用する側の手段も進歩していくという現実を示しているのではないだろうか。
もちろん、AIそのものが悪いわけではない。
大切なのは、それを誰が、どのような目的で使うかということだ。
AIは私たちの生活を豊かにする一方で、使い方によっては大きな危険を生み出す諸刃の剣でもある。
今回のPHP2Shellの問題で特に注意が必要なのは、PHPを利用しているWebサイトの運営者だ。
すでに修正版が公開されているため、利用しているPHPのバージョンを確認し、必要な対応を進めることが重要になる。
一方、Amazonや楽天などを利用している一般のユーザーについては、今回の問題が見つかったからといって、直ちにサービスを利用することが危険になるわけではない。
ただし、普段どおり利用できているからといって、システムの安全性を完全に判断できるものでもない。
便利なサービスを安心して使い続けるためにも、公式発表などを確認し、正しい情報を知ることが大切だろう。
AIを上手に活用しながら、自分自身でも情報の真偽を確かめ、セキュリティへの意識を持つことが、これからの時代を生きるうえでますます重要になるのではないだろうか。
PAGE TOP