PHP脆弱性のX投稿、1日で26万件に急増　Tomcat・GitLabなどと比較

文：AB通信 編集部｜運営：株式会社abcompany

データ：Xの投稿数（日本語の投稿）／取得日時：2026年10月22日12時10分ごろ／期間：10月16日0時〜22日11時台（日本時間）／検索条件：「PHP 脆弱性」または「PHP 修正版」を含む投稿

PHPの重大な脆弱性2件と、その修正版の公開は、日本のXでどれくらい話題になったのでしょうか。「PHP 脆弱性」「PHP 修正版」を含む日本語の投稿数を、1日ごと・1時間ごとに数えました。同じ週に脆弱性の修正版が出たNode.js、Tomcat、GitLabとも比べています。10月22日の値は、0時〜11時台までの途中の値です。

何が起きたか

PHPは10月21日23時ごろ（日本時間）、認証なしで外からコードを実行されるおそれがある重大な脆弱性2件を直した修正版を公開しました。これに先立ち、国家サイバー統括室が21日13時1分にXで注意喚起を出し、国内のレンタルサーバー各社もメンテナンスを行いました。詳しくは次の記事にまとめています。

• PHPに重大な脆弱性、修正版を公開　WordPressなどのサイト運営者がすること
• レンタルサーバー各社のメンテナンス一覧
• エックスサーバー、脆弱性の公表を前に管理画面などを一時停止
• ロリポップ！、PHP脆弱性で一部サーバーのサイトを一時停止

結論：1日で26万件、ふだんの週とは桁が違う

• 10月16日〜20日の5日間は、1日に6〜13件でした。
• 10月21日は262,412件、22日は0時〜11時台だけで163,833件になりました。
• リポストを除いても、21日は20,799件、22日は0時〜11時台で18,402件です。リポストの割合は、21日が約92%、22日（11時台まで）が約89%でした。
• ほかのソフトウェアの脆弱性と比べても、PHPの投稿数は1桁から2桁多い結果でした。

1日ごとの投稿数

日本時間の0時区切りで、1日ごとの投稿数を数えました。

10月20日までは1日に10件前後で、PHPの脆弱性はほとんど話題になっていませんでした。21日に一気に増え、修正版が出たあとの22日も、午前中だけで16万件を超えています。

24時間ごとの投稿数

21日9時を区切りに、その前後の24時間で比べました。

21日9時からの24時間は376,277件で、その前の24時間の197件の約1,900倍です。リポストを除くと、62件から32,484件に増えました。

1時間ごとの推移

10月21日0時から22日11時台までを1時間ごとに見ました。

21日の昼までは1時間に数百件でしたが、15時台に1,044件、17時台に5,042件と増え、22時台に76,628件で最も多くなりました。リポストを除いた投稿も、22時台の5,107件が最多です。修正版が出た23時台のあとは減り、22日4時台には4,854件まで下がりましたが、朝からふたたび増え、8時台は19,927件でした。

国家サイバー統括室が21日13時1分に出した注意喚起の投稿は、22日12時13分ごろの時点で表示が5,838万回を超え、59,726回リポストされています。この投稿も「PHP」と「脆弱性」を含むため、リポストは今回の投稿数に入っています。

ほかのソフトウェアの脆弱性と比べると

同じ週に脆弱性の修正版が出たNode.js、Tomcat、GitLabについても、「名前 脆弱性」「名前 修正版」を含む日本語の投稿を同じ条件で数えました。Node.jsは10月21日にセキュリティ修正版を公開し（Node.jsの脆弱性の記事）、Tomcatは10月20日に脆弱性を公表、GitLabは10月21日（米国時間）に修正版を公開しています。

10月22日0時〜11時台の投稿数は、PHPが163,833件、Node.jsが4,895件、Tomcatが1,897件、GitLabが1,813件でした。PHPはNode.jsの約33倍、Tomcatの約86倍、GitLabの約90倍です。Node.js・Tomcat・GitLabは、いずれも22日の朝（8時台〜9時台）に最も多くなりました。

サイト運営者が押さえておきたいこと

• PHPはWordPressなど多くのサイトで使われているため、ほかのソフトウェアの脆弱性と比べて、はるかに多くの人が話題にしました。
• 投稿の9割前後はリポストです。話題の大きさは、Xで情報が広く届いたことを表していますが、内容が正しいかどうかは別です。修正版や対象のバージョンは、PHPの公式サイトやサーバー会社のお知らせで確かめましょう。
• 共用のレンタルサーバーでは、PHPの更新はサーバー会社が行います。自分のサーバーでPHPを動かしている場合は、修正版への更新が必要です。

読むときの注意点

• 投稿数は、検索条件の言葉を含む日本語の投稿の数です。PHPの脆弱性と関係のない投稿が含まれる場合や、別の言い方の投稿が含まれない場合があります。
• 「すべての投稿」はリポストを含みます。1つの投稿が多くリポストされると、数が大きく増えます。
• 10月22日の値は、0時〜11時台までの途中の値です。
• 削除された投稿や、非公開のアカウントの投稿は数に入りません。あとで取り直すと、値が変わることがあります。

調査の方法

• 2026年10月22日12時10分ごろに、Xの投稿数のデータ（1時間ごと）を取得し、日本時間の0時区切りで1日ごとに合計しました。期間は10月16日0時〜22日11時台です。
• 検索条件は下の表のとおりで、どれも日本語の投稿（lang:ja）に限っています。「リポストを除く」は、リポストを除いた条件で別に数えた値です。
• 24時間ごとの投稿数は、1時間ごとの値を、21日9時の前と後の24時間で合計しました。
• 国家サイバー統括室の投稿の表示回数とリポスト数は、10月22日12時13分ごろに確認した値です。

出典

• 国家サイバー統括室（注意・警戒情報）の投稿（2026年10月21日）
• PHP公式サイト
• Node.js：2026年10月のセキュリティリリース
• Apache Tomcat 11.x vulnerabilities
• GitLab：パッチリリース 19.5.1・19.4.3・19.3.6など（2026年10月21日）

あわせて読みたい

• PHPに重大な脆弱性、修正版を公開　WordPressなどのサイト運営者がすること
• Node.jsに脆弱性、セキュリティ修正版を公開
• Xでの投稿数、Claude・Grok Bot・GPT-6 Astra・dotsの10日間の推移