世界中のウェブサイトで使われているプログラミング言語「PHP」に、極めて深刻な欠陥が2件見つかったと報じられました。この2件は「PHP2Shell」と呼ばれており、深刻度を示す共通指標CVSSで9.2（10点満点）と、最も危険な部類に入ります。報道の時点では修正版がまだ出ておらず、いわゆる「未パッチ」の状態でした。
どちらも「RCE（遠隔コード実行）」と呼ばれるタイプの欠陥とされています。RCEとは、インターネットの向こうにいる攻撃者が、狙ったサーバー上で好きなプログラムを動かせてしまう状態のことです。成功すれば、サイトの改ざんや情報の盗み出し、乗っ取りにつながるおそれがあります。この種のセキュリティホールは、サーバーの管理者でなくても影響を受ける点が厄介です。
PHPの開発チームは、通常の予定とは別に、日本時間では10月21日の夜（協定世界時の14時）に臨時のセキュリティ更新版を公開すると予告しています。報道は更新版の公開前に書かれたもので、対象となるバージョンや修正版の番号は、公式の告知で確認する必要があるとされています。
WordPressなど、PHPで動く多くのサイトを運営している方は、まず自分のサーバーのPHPのバージョンを確認してください。レンタルサーバーを使っている場合は、事業者がPHPの更新を案内するはずなので、その告知に注意しましょう。自分でサーバーを管理している場合は、更新版が出次第、速やかに適用することが重要です。