家やマンションに住んでいると、修繕の予定表がある。外壁の塗り直し、給湯器の交換、屋上の防水。放っておくと傷み、直す頃には高くつく。ソフトウェアも同じで、定期的に直す前提で運用する必要がある。
2026年10月、プログラミング言語PHPの本体に、深刻な弱点（脆弱性）が公表された。まとめて PHP2Shell と呼ばれている。当社も対応したが、作業の大半は「部品の交換」で済んだ。なぜ済んだのかを、家の修繕に置き換えて説明する。
家は放っておくと傷む
家は、目に見えないところから傷む。屋根の裏、配管の継ぎ目、外壁のひび。普段は気にしないが、雨が降り続くと漏水になる。
ソフトウェアも同じで、使っている部品（ライブラリやミドルウェア）に、あとから弱点が見つかる。見つかった時点で「直す部品」が出て、交換することになる。
「雨漏り」は、ある日突然知らされる
今回は、公表の翌日には修正版が出て、日本でも多くのサービスが緊急メンテナンスに入った。当初の予定より前倒しで公表されたので、「その日に向けて段取りを組む」進め方は通用しなかった。
家に置き換えると、雨漏りが「来週の火曜に起きます」と決まっているわけではないのと同じだ。いつ知らされても動ける状態かどうかが問われる。
修繕には3つのやり方がある
- その場しのぎ — ブルーシートをかける（設定で一時的に塞ぐ）
- 部分補修 — ひびに充填剤を入れる（修正版に上げる）
- 交換 — 部品ごと替える（イメージの差し替えや刷新）
ブルーシートは雨をしのぐだけで、屋根は直っていない。今回も、設定で一時的に塞ぐ緩和策は示されたが、根本は修正版への更新だった。時間を稼ぐことと、直すことは別だ。
修繕が進まない家の共通点
修繕が滞る家には、だいたい同じ理由がある。
- どこに何が使われているか、図面がない（どのサーバに何の版が入っているか分からない）
- 頼める業者が決まっていない（手順が属人化している）
- 予算と時間が、平時に確保されていない
- 住人が「まだ大丈夫」と言う（影響範囲が分からない）
ソフトウェアも同じで、どのサーバにどの版が入っているかを即座に説明できないと、直す順番も決められない。
修繕積立金にあたるもの
マンションには修繕積立金がある。壊れてから集めるのでは間に合わないので、平時に積み立てる。ソフトウェアの場合は、お金よりも 手順と時間 の積み立てが効く。
台帳、影響調査のやり方、検証の環境、戻せるリリース。これを平時に用意しておくと、急な公表にも同じ手順で対応できる。
当社で起きたこと
当社のシステムは、ほぼすべてコンテナで動いている。今回の対応は、PHPを含む部品の交換（イメージの差し替え）と再配置（再デプロイ）で、大部分が完了した。
家に置き換えると、ユニットバスの交換に近い。規格が揃っていて、同じ手順で入れ替えられ、合わなければ元に戻せる。だから短い時間で終わる。
ただし、すべてが自動で終わったわけではない。軽微な個別対応もあった。コンテナの外にある環境など、同じ手順で替えられない箇所には、個別に手を入れる必要があった。
これは自慢ではなく、条件が揃っていたという話だ。台帳がある・同じ手順で替えられる・戻せるの3つが揃っていなければ、同じようには進まない。
判断のための3つの質問
経営や企画の立場で見るときは、次の3つを確認すると状態が分かる。
- どのシステムが、どの部品のどの版を使っているかを、一覧で説明できるか
- 交換の手順が決まっていて、担当者が変わっても同じようにできるか
- 交換して問題が出たとき、元に戻せるか
どれかが欠けていると、緊急時には「全部を一気に」か「何もしない」かの二択になりやすい。その二択は、どちらも高くつく。
RHEMS Japanが支援できること
当社は、この「修繕できる状態」を作るところから支援している。台帳の整備、影響範囲の調べ方、検証と適用の手順、戻せる形でのリリース。製品の選定より先に、その製品が効く前提を整える。
「何を入れれば安全か」ではなく「どう運用すれば追随できるか」。そこを一緒に設計したい方は、お問い合わせください。
参考
技術的な詳細（CVE・影響範囲・当社の対応手順）は、エンジニア向けのコラム「PHP2Shellで問われたのは、パッチを当てられる体制だった」に書いています。
出典は、PHP公式のアナウンス（2026年10月20日・21日）と、IPAの注意喚起です。
本記事は2026年10月時点の公開情報と、当社の運用に基づいています。特定の企業の評価はしていません。