PHP脆弱性「PHP2Shell」から1週間:いま分かっていること
PHPは、ウェブサイトの裏側(サーバー)で動くプログラムを書くための言語であり、それを動かすソフトウェアでもあります。ブログやネットショップ、予約サイト、自治体のホームページなど、身近なサイトの多くがPHPで動いています。共同通信は、世界のウェブサイトの69.3%でPHPが使われているという欧州系の調査機関の数字を伝えています。
JPCERT/CC(国内でサイバー攻撃の情報をまとめている組織)の注意喚起によると、PHPの開発元は10月21日に2件の脆弱性(CVE-2026-109618、CVE-2026-109619)を公表しました。悪用されると、外からサーバーで勝手にプログラムを実行されるおそれがあります。危険度(CVSS)は10点満点中9.2です(セキュリティ対策Lab、Recorded Futureほか)。
修正版と対象(JPCERT/CCの注意喚起から)
| PHPの系列 | 影響を受ける版 | 対応 |
|---|---|---|
| 8.5系 | 8.5.12より前 | 8.5.12に更新 |
| 8.4系 | 8.4.27より前 | 8.4.27に更新 |
| 8.3系 | 8.3.36より前 | 8.3.36に更新 |
| 8.2系 | 8.2.35より前 | 8.2.35に更新 |
| 8.1以前 | 修正版なし | サポート中の版へ移行。7.4/8.0/8.1には最小限の緩和策が出ている |
この1週間の主な出来事(日本時間)
- 10月21日:開発元が公表し、修正版を公開。夜には高市首相がXで、サイトの運営者に向けて「大至急のお願い」を投稿した(毎日新聞、TBS NEWS DIGほか)
- 10月22日:JPCERT/CCが注意喚起を公開
- 10月23日:開発元が3件目の脆弱性(CVE-2026-115560)を公表。影響を受ける構成は一般的ではないとされ、修正は通常の更新の流れで行う方針(JPCERT/CC)
- 10月24日:海外の研究者が置いた3台のおとりのサーバーで、命令を実行するプログラムが計35回起動(CNET Japan、27日配信)
- 10月26日:JPCERT/CCが注意喚起を更新。米国のCISAが「悪用が確認された脆弱性」の一覧(KEV)に追加(piyolog)
- 10月27〜28日:停止を告知した組織は約1200に(NHK)。「PHPのパッチを買え」というサポート詐欺の話がXで広まる
大事なのは、弱点があるのはサイトを動かしているサーバーの側だという点です。サイトを見たり買い物をしたりするだけの人のスマホやパソコンに、PHPの穴があるわけではありません。トレンドマイクロの一般向けブログ「TrendLife」も、自分のスマホやパソコンでPHPを更新する必要はないと説明しています。この前提を押さえておくと、後で出てくる「パッチ購入詐欺」がなぜ詐欺だと言い切れるのかが分かります。
背景と経緯:なぜ一般の人まで巻き込む騒ぎになったのか
脆弱性の公表は珍しいことではありません。今回これほど大きな話題になったのには、いくつかの事情が重なっています。
1. AIが見つけた「何十年も前からあった」穴
CNNによると、この脆弱性はOpenAI、Wiz、Califの3社が、それぞれAIを使って見つけました。Wizは「根底にある脆弱性は何十年も前から存在していた」と説明しています。悪用できることを示すには、人間の研究者には限界に近いほど複雑な手順が必要だったとも述べています。piyologの時系列では、Califと OpenAIが8月11日に、Wizが8月24日に報告しています。2か月ほどかけて修正が準備されてきたことが分かります。
2. 公表の前に情報が漏れ、予定が前倒しに
piyologによると、日本時間の10月21日0時ごろ、脆弱性の番号が出回りました。添えられていた公開時刻と「CVSS 10.0」という点数は、どちらも誤りです(実際は9.2)。もともと22日の予定だった修正版の公開は、21日に早まりました。Amazonは公表の4日前にあたる10月17日に、自社のおとりの仕組みで悪用の試みを観測していたと報告しています(セキュリティ対策Lab)。
つまり、最初に出回った数字からして間違っていたことになります。情報が錯綜したまま騒ぎが始まったことが、その後のデマの多さにつながっていると考えられます。
3. 古いPHPが世界中に残っている
Recorded Futureの分析によると、VirusTotalのデータでPHPを動かしているIPアドレスは約510万件ありました。版が分かる約110万件のうち、約75万8000件はサポートが終わった系列(5.4〜8.1)です。別の調査(Modat)でも、版が読み取れたもののうち約79%がサポート切れの系列でした。修正版が出ても、すぐには直せないサイトが多いということです。
4. 首相のX投稿で、PHPという言葉が一気に広まった
SmartFLASHによると、首相の投稿は「皆様に、今夜に対応して頂きたい大至急のお願いです」で始まります。修正の適用が難しい場合は、サイトを一時的に止めることも有効だと付け加えていました。Sirabeeは、技術者から「助かった」「上司や取引先を説得する最強のカードになった」と評価する声が出たと伝えています。一方でSmartFLASHは、ITジャーナリストの「一般の人には対応の手立てがない案件で、かえって世間を混乱させた」という指摘を紹介しています。
評価は分かれますが、プログラミングに縁のなかった人にまで「PHP」という言葉が届いたのは確かです。そしてこのあと見るように、それを詐欺に使う人も出てきました。
後半の注目点:長引く停止、パッチ購入詐欺、取り違え
停止の告知は約1200に。約4割は再開を確認できず
サイトやサービスの停止を数えた報道は、日を追うごとに件数が増えています。どれも、Xなどで公開された告知をもとにした集計です。
| 時点 | 停止の告知 | 出典 |
|---|---|---|
| 10月21〜22日 | 246組織(国の機関、自治体、金融、ゲーム、ECなど) | piyolog |
| 10月23日14時 | 502件。再開の告知は217件、残る285件(約6割)は再開を確認できず | マイナビニュース(アシュアード調べ) |
| 10月26日 | 累計1090件。約4割は再開を確認できず | テレビ朝日系(ANN) |
| 10月27日 | およそ1200 | NHK |
ANNは、再開が遅れる理由として、PHPがどこで使われているかの確認に時間がかかっていることなどを挙げています。一方で、大手のレンタルサーバーは対応が早く進みました。セキュリティ対策Labによると、ロリポップ!は22日の昼に顧客サイトの表示を再開し、PHP 5.3〜8.5のすべての系列に修正を当てています。22日の発表の時点では、不正アクセスや情報漏えいは確認していないとしています。
「PHPのパッチを購入しろ」というサポート詐欺
27日から28日にかけてXで広まったのが、この話です。Togetterのまとめ(28日公開)によると、もとは26日の投稿で、栃木県内のコンビニに貼られていた注意書きの写真でした。パソコンでネットを見ているとウイルス感染の偽の警告画面が出て、表示されたサポートセンターに電話すると、「PHPのパッチを買う必要がある」と電子マネーを買わされる、という手口です。店員の話では、相談に来たのは30代の男性で、被害は未遂でした。店員が「さっき売り切れたんすよ」と答えて、支払いを止めたそうです。
大阪府警は、サポート詐欺の流れを次のように説明しています。偽の警告画面と警告音、電話番号の表示、遠隔操作ソフトのインストール、そしてコンビニでの電子マネーの購入です。今回は、その「名目」に、ニュースで聞いたばかりのPHPが使われたことになります。
なお、この件について、PHPを名目にしたと明記した警察や国民生活センターの発表は、今回の調べでは確認できませんでした。確かなのはコンビニの掲示とそのまとめまでです。ただ、第1節で見たとおり、一般の人のパソコンに「PHPのパッチ」を買って当てる必要はありません。名目が何であれ、電子マネーで払わせる時点で詐欺と考えてよい手口です。
別の事件との取り違え
同じ時期には、GMOインターネットグループのFX自動売買用クラウドサービスへの不正アクセスも大きく報じられました。時事通信によると、攻撃者は身代金を求め、期限の27日に顧客のものとされる個人情報(1人分)を公開しています。GMOは二次被害を防ぐため、公開された情報をSNSなどで拡散しないよう呼びかけています。この報道に、PHPが原因だとする記述はありません。それでもXでは、二つの事件を混ぜた投稿や、「テレビがPHPと混ぜて伝えている」と指摘する投稿が見られました。
PHPの脆弱性へのXの反応(全体の割合)
Yahoo!リアルタイム検索を使い、2026年10月28日22時16分(JST)にXの投稿を集めました。検索語は6つで、「PHP 脆弱性」(新着順)、「PHP 拡散」(話題順)、「PHP 非エンジニア」(話題順)、「PHP デマ」(新着順)、「PHP 偽メール OR PHP 詐欺」(新着順)、「PHP 一般人」(新着順)です。延べ260件を集め、IDの重複を除くと258件になりました。
そこから、次のものを集計から外しました。企業・自治体のお知らせ、ニュースの見出しやリンクだけの投稿、ブログや動画・相談サービスの宣伝、PHPと関係のない話題、政党や政治家への攻撃が中心の投稿、GMOの事件だけを扱った投稿、同じ人がほぼ同じ文で続けて投稿したもの、個人への中傷です。残った162件を、1件ずつ分類しました。
全体の割合(n=162)
| 分類 | 件数 | 割合 |
|---|---|---|
| 肯定(落ち着かせる・対応を評価する・安心した) | 28件 | 17% |
| 否定(不安・不便・いら立ち・批判) | 56件 | 35% |
| 中立(注意喚起・質問・報告・ネタ・どちらとも取れるもの) | 78件 | 48% |
検索語ごとの内訳
| 検索語 | 集計した件数 | 肯定/否定/中立 |
|---|---|---|
| PHP 脆弱性 | 32件 | 6/11/15 |
| PHP 偽メール OR 詐欺 | 31件 | 1/11/19 |
| PHP 非エンジニア | 30件 | 5/12/13 |
| PHP 一般人 | 28件 | 9/10/9 |
| PHP デマ | 22件 | 1/9/12 |
| PHP 拡散 | 19件 | 6/3/10 |
脆弱性そのものに「良い・悪い」はないので、投稿した人の気持ちの向きで分けました。「一般の人は何もしなくていい」と落ち着かせる投稿や、運営側の対応をねぎらう投稿は肯定です。「不安」「困る」「腹が立つ」は否定です。「詐欺に気を付けて」のような注意喚起は、気持ちより情報が中心なので中立にしました。「PHPパッチ購入は詐欺」のような、ネタとも注意喚起とも読める投稿も中立です。
「PHP デマ」の検索結果は、政治的な言い争いが多く、半分近くを外しました。母数は50件を大きく超えていますが、検索の仕組みによる取りこぼしや偏りがあります。割合は傾向をつかむ目安として読んでください。
肯定的な反応:「一般人は何もしなくていい」と運営への感謝
肯定は28件(17%)と少数でしたが、いいねの多い投稿が目立ちます。論点は大きく3つです。
論点1:「一般の人は何もしなくていい。むしろ何もするな」
「PHP 一般人」で集めた投稿の肯定9件のうち、ほとんどがこの内容でした。
・「利用者側の対策はなし。制作側が急いでパッチを当てる。一般の人は、ルーターを抜くような意味のないことをしないのが大事」
・「Wi-Fiやスマホを止めても直らない。パスワードの使い回しをやめるのが備え」(Q&A形式の投稿)
・「PHPが大変だからって、一般の人は何もせんでええ。むしろ何もすんな」
・元セキュリティ研究職の人に、一般の人が注意すべきことを聞いたという共有(いいね約67)
1週間たって、「自分には関係があるのか」を落ち着いて確かめる段階に入った様子がうかがえます。「ニュースで大きな脆弱性を見たら、まず自分に関係があるかを確かめる。自分のサイトでPHPが動いていないと分かるまで数分。慌てずにすんだ」という投稿もありました。
論点2:止めて、直してくれた運営への感謝
サービスを止めて直した側をねぎらう声です。「光の速さで封じ込めた」とレンタルサーバー会社をほめる投稿や、「公式から修正が出ていない古い5系にまで対応したのか、すごい」と驚く投稿がありました。「個人サイトなのに、すぐに対応してくれた運営さんには頭が上がらない」という声もあります。
「サイトが止まっていても、そのおかげで個人情報の流出を防げていると考える必要がある」という投稿は、停止を「被害」ではなく「予防」と受け止める見方です。技術者からは「たくさんのメンバーの頑張りで、やっとコアな部分にめどがついた。明日は少し休めそう」といった、ほっとした声も出ています。
論点3:Xでの呼びかけを評価する声
首相の投稿については、25日の「会見という形にとらわれず、スピードと拡散力を優先してXに投稿して良かった」という投稿が、いいね約5,130を集めました(この投稿は前の記事でも取り上げています)。「会見で伝えようとしていたら時間切れだった」(いいね約174)、「修正版の公開前に情報が漏れ、攻撃の試みも観測されていて、事態は切迫していた」(いいね約87)と続きます。
27日には、「PHPはそもそも仕事で扱う人に関係するもので、一般の人にはあまり影響がない。メディアで大きく流せば、あおるだけで詐欺を誘発する」という投稿が、いいね約55を集めました。呼びかけを評価する理由として、一般の人の混乱や詐欺を避けられる点を挙げているのが、後半らしい特徴です。ほかに「非エンジニアがこぞってPHPを話題にしているのは、ちょっとうれしい」という技術者の声もありました。
否定的な反応:詐欺メールへの不安、停止の長期化、デマ
否定は56件(35%)で、肯定の2倍でした。ただ、1件ごとのいいねは0〜数十件がほとんどです。中身は「脆弱性が怖い」より、「便乗した詐欺が怖い」「まだ使えない」「情報がぐちゃぐちゃ」の3つに分かれます。
論点1:便乗の詐欺メール・電話への不安
・「迷惑メールのフォルダを見ると『PHPの対応』『セキュリティ強化』系の詐欺メールが爆増。文面を一読しただけでは詐欺と分からない」
・「PHPを全く知らず、首相の呼びかけだけテレビで見た人なら騙されそう。私も特殊詐欺に騙されかけたことがある」
・「カード会社を名乗る自動音声の電話が来た。マスコミが騒ぐほど、みんな不安になって普段は押さないリンクを押してしまう」
・「PHPの件から、詐欺電話や詐欺メールに引っかかったかもしれないと投稿して、周りの不安をあおる人がいる」
「PHP 偽メール OR 詐欺」で集めた31件のうち、否定は11件でした。琉球銀行は22日に、PHPの脆弱性や「セキュリティ対応」を理由にした偽メールが送られる可能性があるとして、注意を呼びかけています。不安の声は、その心配が現実の受信箱で起きていることを示しています。
論点2:1週間たっても使えないサービス
「よく使っていたサイトがいくつも、PHPの件以来ずっとメンテナンスのまま。このまま終わってしまわないか心配」という投稿がありました。ほかにも、決済の連絡が届かない、通信サービスの手続きができない、辞典の有料サービスが開けない、といった声があります。第3節の「約4割は再開を確認できず」という数字が、こうした暮らしの不便として表れています。「強制ログアウトのあと、メールアドレスもパスワードも思い出せず、なかなか入れなかった」という声もありました。
論点3:デマ・取り違えと、エンジニアと一般の人のすれ違い
「SNSで見た内容の信ぴょう性のなさは異常。本物の情報を探すのに、誰もがトレジャーハンターにならないといけない」という嘆きがありました。テレビの説明に対しても、「PHPは家の鍵」というたとえや、「今夜はネットを触らないで」という呼びかけへの批判が出ています。「GMOの騒ぎはPHPとは別なのに、テレビが混ぜている」という指摘もありました。「父がPHP関連の陰謀論を見始めた」という家族の悩みも見られます。
「PHP 非エンジニア」では、否定が12件ありました。技術者が、事情を知らないまま批判する人や、誤った理解を広める人にいら立つ投稿が中心です。「PHPだけ上げればいいという簡単な話ではない」という嘆きもありました。逆に、技術者が専門用語で一般の人をやり込める様子を批判する声もあります。騒ぎが長引くほど、立場の違う人どうしの言い争いが増えていく様子が読み取れました。
反応の分析と関心の動向:数字で見るPHP騒動
「詐欺」がネタとして広まった
中立(48%)の多くは、注意喚起とネタでした。とくに目立ったのが、「『レターパックで現金送れ』は詐欺です」になぞらえた「PHPパッチ購入は詐欺」という言い回しで、いいね約102を集めた投稿もあります。「メールマガジンの冒頭に入れるべき」という提案や、「何が届くんだよ」という突っ込みも続きました。笑いの形を取っていますが、「PHPのパッチを個人が買うことはない」という正しい知識が、覚えやすい形で広まった面があります。
件数と「届いた量」のずれ
| 投稿の種類 | いいねの目安 |
|---|---|
| Xでの呼びかけを評価(肯定) | 約5,130 |
| 「pixivが攻撃されたは誤解、落ち着いて」(肯定、21日) | 約2,470 |
| 「PHPパッチ購入は詐欺」(中立) | 約102 |
| 詐欺メールへの不安・停止の不便(否定) | ほとんどが0〜数件 |
件数では否定が肯定の2倍ですが、多くの人に届いたのは、落ち着かせる投稿や状況を整理する投稿でした。前の記事で見た1週目の傾向が、後半も続いています。ただ、詐欺への不安を書いた投稿の多くは、反応が少ないまま個人のタイムラインに残っています。こうした「声の小さい不安」に、正しい情報がどこまで届いているかは、数字からは分かりません。
「拡散」という言葉の使われ方
「PHP 拡散」で集めた投稿を読むと、「拡散」は2つの意味で使われていました。1つは、首相の投稿の「拡散力」を評価する使い方です。もう1つは、「信頼できる機関からの情報以外は拡散しないのがおすすめ」「怪しいURLと真偽不明の情報をセットで流す人がいる」という警告です。一方で、「知識のない人が不安になって言いふらすくらいがいい。そのほうが技術者の耳にも入る」という逆の意見もありました。広めることの良し悪しは、何を広めるかで決まる、ということが分かります。
関心の動向:数字で見る広がり
| 指標 | 数字 |
|---|---|
| 検索ツールが示した投稿数の目安(10月28日22時16分) | 「PHP 一般人」1,363件、「PHP 偽メール OR 詐欺」959件、「PHP 脆弱性」836件、「PHP 拡散」424件、「PHP デマ」210件、「PHP 非エンジニア」153件 |
| 停止を告知した組織 | 246(21〜22日、piyolog)→502(23日)→1090(26日)→約1200(27日、NHK) |
| 首相の投稿の表示回数 | 「8,300万インプレッションを超えた」とする投稿あり(22日、いいね約3,780)。公式の数字は確認できず |
| ふだんのフィッシング報告件数(参考) | 2026年7月で66,119件(フィッシング対策協議会、ScanNetSecurity) |
検索ツールの件数には上限や取りこぼしがあり、あくまで目安です。それでも、「PHP 一般人」や「詐欺」の件数が「PHP 脆弱性」を上回っている点は目を引きます。技術の話題だったPHPが、「自分は何をすればいいか」「騙されないか」という生活の話題に移ったことを示していると読めます。
フィッシングの報告は、ふだんから月に6万件を超えています。そこにニュースの言葉が加わると、詐欺の口実が1つ増えることになります。10月分のフィッシングの報告件数や、検索エンジンでの「PHP」の検索の伸び(Googleトレンドなど)は、今回の調べでは確認できませんでした。
非エンジニアが気を付けること:拡散しない・詐欺に乗らない
ここからは、エンジニアではない人に向けた整理です。JPCERT/CC、大阪府警、琉球銀行、TrendLifeの案内と、Xで多くの人が共有した助言をもとにしています。
1. 拡散する前の5つの確認
- 誰が言っているか:サービスの公式アカウント、JPCERT/CC、IPAなど、発信元がはっきりしているか。
- いつの情報か:今回は日ごとに状況が変わりました。21日の「停止中」は、22日には「再開」になっていることがあります。
- 専門家でも訂正することがある:最初に出回った「CVSS 10.0」は誤りでした。piyologによると、海外のセキュリティ企業でも、先に伝えた「悪用の成功」を後から訂正した例があります。断定的な話ほど、少し待つ価値があります。
- 「犯人」の話は特に慎重に:「犯人が突き止められた」とする投稿も見かけましたが、そうした公式の発表は今回の調べでは確認できませんでした。ニューズウィーク日本版が伝えたのは、ある調査会社が北朝鮮系の集団との関連を「中程度の確信度」で評価した、という内容です。「確定」ではありません。
- 「拡散希望」に流されない:善意の呼びかけでも、中身を確かめずに広めると、間違いも一緒に広がります。
2. 広めてはいけないもの
・「今夜は機内モードで」「ルーターを抜いて」など、根拠のない対処法
・漏れたとされる個人情報や、その画面写真・URL(GMOは、公開された情報を拡散しないよう呼びかけています)
・攻撃の方法や実証コードの紹介(JPCERT/CCは、悪用できると主張するコードが多数出回っていると注意しています)
・「〇〇が攻撃された」という未確認の話。今回の停止の多くは予防のためでした
間違いを正したいときは、元の投稿を引用して広めるより、公式の情報を直接紹介するほうが、誤った情報を目立たせずに済みます。
3. 詐欺に乗らない
- 「PHPのパッチを買え」はすべて詐欺:PHPの修正はサイトの運営側の仕事です。個人がお金を払って買うものではありません。
- 偽の警告画面が出たら:大阪府警によると、画面が出ただけでウイルスに感染したわけではありません。表示された番号に電話せず、Alt+F4キーでウインドウを閉じます。閉じられないときは、Ctrl+Alt+Deleteキーでタスクマネージャーを開き、ブラウザを終了します。電子マネーを買うよう言われても、買いません。
- メールやSMSのリンクを開かない:「PHPのシステム障害に伴い、口座の確認が必要です」のような文面が例として紹介されています(わかりやすいIT)。確かめたいときは、公式アプリやブックマークした公式サイトを自分で開きます。琉球銀行は、この脆弱性への対応を理由にID・パスワードや暗証番号の入力を求めることはないと明記しています。
- 迷ったら相談:IPAの「情報セキュリティ安心相談窓口」(03-5978-7509)や、警察の相談窓口があります。家族や詳しい知人に聞くのも有効です。
4. やらなくていいこと・やっておくとよいこと
- やらなくていい:機内モード、ルーターの電源を抜く、アプリの削除。弱点はサーバー側にあります。
- やっておくとよい:パスワードの使い回しをやめること。利用中のサービスから事故の連絡が来たら、パスワードを変えること(TrendLife)。スマホやパソコンのOS・ブラウザを最新に保つことは、サポート詐欺への備えとしても勧められています(大阪府警)。
- 例外:自分でWordPressなどのサイトを持っている人は、借りているサーバー会社のお知らせを確認しましょう。NASなどの機器をインターネットから管理できるようにしている人は、メーカーの案内も確認しておくと安心です(TrendLife)。
5. 家族への一言
Xには、「母が電話で『PHSが危ないって言うじゃない?』と心配してくれた」というほほえましい投稿もありました。言葉をうろ覚えのまま不安だけが残っている状態は、詐欺にとって都合のよい状態でもあります。離れて暮らす家族には、「PHPのことで誰かがお金や暗証番号を求めてきたら、全部詐欺」と一言伝えておくだけでも、備えになります。
今後の注目とまとめ
これから注目したいこと
- 停止中のサービスの再開:26日の時点で約4割は再開を確認できていません(ANN)。再開の案内は、公式サイトや公式アカウントで確かめましょう。「再開に伴うログインのお願い」を装った偽メールにも注意が必要です。
- 3件目の脆弱性の修正:CVE-2026-115560は、通常の更新の流れで直される予定です。それまでは設定による緩和策が案内されています(JPCERT/CC)。
- 実際の被害の有無:おとりのサーバーでは攻撃の成功が確認されましたが、CNET Japanは、一般のサイトでの被害を示すものではないとしています。JPCERT/CCは、痕跡がなくても攻撃を受けていないとは言い切れないとして、運営側に調査を求めています。今後、被害の発表が出る可能性はあります。
- 古いPHPの扱い:8.1以前には修正版がありません。8.2系も、PHPの公式のサポート期間では2026年末で終わります。古い仕組みを使い続けているサービスが、どう移行していくかが問われます。
- 便乗詐欺の続き:「PHP」の言葉を使った詐欺は、騒ぎが落ち着いてからも形を変えて続く可能性があります。
まとめ
- 何が起きたか:10月21日にPHPの「緊急」の脆弱性2件が公表され、修正版が出た。23日に3件目、26日にCISAのKEVへの追加。停止を告知した組織は27日時点で約1200
- 後半の変化:話題は「何が起きたか」から、停止の長期化、「PHPパッチ購入」を口実にしたサポート詐欺、便乗の偽メール、別の事件との取り違えへと移った
- Xの反応(n=162):肯定17%、否定35%、中立48%。否定の中心は詐欺への不安、使えないサービス、デマへのいら立ち。広く読まれたのは、落ち着かせる投稿と整理の投稿だった
- 非エンジニアがやること:自分の端末での対策は基本不要。真偽の分からない情報や漏れた個人情報は広めない。「PHPのパッチを買え」は詐欺。リンクを開かず、公式アプリやブックマークから確かめる。パスワードの使い回しをやめる
今回の騒ぎで、多くの人が「PHP」という言葉を初めて知りました。知らない言葉ほど不安を呼びやすく、その不安は詐欺やデマに利用されます。Xの反応を見ると、怖がるよりも「自分に関係があるか」を落ち着いて確かめた人のほうが、迷わずに済んでいたようです。そして、確かめた情報を、必要な人にだけ静かに伝えるのが一番の助けになります。慌てて広める前に、ひと呼吸おきたいところです。