“緊急メンテの夜”までの一部始終は？ 8月にAIで「PHPの重大な脆弱性」発見→OpenAIが即応チームを招集（1/3 ページ） - ITmedia ビジネスオンライン
高性能化するAIを巡り、サイバー攻撃の高度化に悪用しようとする側と、それを防御するためにAIを活用しようとする側との間で、新たな攻防戦が繰り広げられている。
その一例が、10月21日夜（日本時間、以下同）に多数のITサービスが「緊急メンテナンス」に入った“騒動”だ。防御側は2026年夏、放置すればインターネットに公開されているWebサイトの70％を停止させかねない重大な問題を、AIで特定した。この件で、攻撃者側に一歩リードできたと期待している。
21日の夜、「なろう」のWebサイトで小説を読んでいて「リアクション」を押そうとしたらエラーになりました。
しばらくは読み進めることができましたが、そのうちサイトにアクセス不能に。
『ああ、これがいまニュースでやってる緊急メンテナンスの影響なのか』と思いました。
PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判 - ITmedia NEWS
今回の脆弱性がこれほどまでに世間を騒がせたのは、その緊急性はもちろん、本来伏せておくべきだった情報の先出しが影響している。PHPの開発プロジェクトは、安全のため脆弱性の詳細をセキュリティアップデート配信まで伏せていたにもかかわらず、一部の関係企業が公開禁止措置を破り、混乱に拍車を掛けたという。開発プロジェクトを支援するThe PHP Foundation（PHP財団）は21日、経緯を公式サイトで公開した。
PHPに限らず、これまでも脆弱性対策のパッチ当ては普通に行われていました。
なんでこんなに大騒ぎをするのか不思議ですね。
サイバー攻撃が急増している最中でしたし、水面下での対応よりもとにかく迅速にというのも分からなくもありませんが。
「PHP」とか「パッチ当て」とか（一般には）聞き慣れない用語が飛び交い、TVのニュースやワイドショーに専門家がでて解説しています。
「PHPは世界中のWebサイトの7割で使用されている」とか聞かされて不安になってる人も多いでしょうね。
PHP研究所「関係ありません」 プログラミング言語問題で | NEWSjp
プログラミング言語「PHP」に重大な欠陥が見つかった問題を巡り、出版社のPHP研究所は22日までに、文芸の編集部のX（旧ツイッター）で「（弊社は）全然関係ありません」と投稿した。同社によると、問い合わせが相次ぐといった混乱は起きていないという。
同社の公式サイトもPHPを使っていたが、現在は緊急メンテナンスを完了したという。
ウチの嫁も PHPなんて「聞いたことない」と言ってました。
【緊急】PHPに重大な脆弱性が発覚｜影響範囲と対策を整理 #Security - Qiita
今回の大きな問題は、認証されていない外部の攻撃者が、サーバー上で任意のコードを実行できる可能性があるとのことです。
これはRCE（Remote Code Execution：リモートコード実行）と呼ばれます。
攻撃者が脆弱性を悪用すると、認証なしでサーバー上のコードを実行できる可能性があります。ただし、実行可能な操作はPHPプロセスの権限やサーバーの設定によって異なります。
研究者による検証では、脆弱性を悪用したリモートコード実行が実証されています。ただし、実際の攻撃成立条件はサーバーの構成や設定によって異なります。
（中略）
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、コンピュータシステムやソフトウェアに存在するセキュリティ上の脆弱性の深刻度を客観的に数値化し、評価するための国際的なオープン標準フレームワークです。
スコアは0.0~10.0に渡るとのこと。
今回は9.2なので、かなり緊急度が高いものだということが画像からもわかります。
先日の MTの脆弱性では CVE-2026-96408（アップグレードスクリプトのコードインジェクション）の CVSS v4.0が 9.3で「Critical／緊急」相当だったので、そう考えると結構危ないものだったんだなと思います（既に対策しています）。
Webアプリが主流になり、リッチなフレームワークが使えるPHPが重宝されるのは仕方がないですが、攻撃側に狙われやすくなるのもまた道理ですね。
業務であればしょうがないですが、趣味でやるならあえて非主流のシステムを使うのもアリだと思いますよ。
やはり「阿部寛のホームページ」みたいな静的なサイトが最強かもしれません