PHP
AIによる発見支援PHP は CVE-2026-109618 と CVE-2026-109619 を修正しました。修正版は 8.5.12、8.4.27、8.3.36、8.2.35。Calif が8月に発見し、10月に協調公開しました。
一次資料 ↗ RESEARCH 002 / THE RESPONSE GAP
2024 → 2026 · 公開資料をもとに調査 · 2026年10月22日更新
Protico - Community Intelligence
PHP、Node.js、証明書に相次ぐセキュリティ警告。 AI 時代、企業に残された対応時間は？
2026年10月、PHP・Node.js のセキュリティ更新と eMudhra 中間証明書の問題が相次いで公表されました。Protico Labs は時系列、公開脆弱性データ、AI を活用した研究、企業の損失を整理し、最初の警告から対応完了までに必要な作業を検討します。
データを見る ↗Community Intelligence で、これからのリスクを早めに知るTHREAT SIGNAL / 2024–2026
+361.3%
2026年10月1〜21日 · 2025年の同期間と比較
2,719 → 12,543
月次の脆弱性公開数2024 → 2026
THE RESPONSE GAP観測期間 2024.01–2026.10.21 · 更新 2026.10.22
01 / CONTEXT
48時間で、世界のネット基盤に相次ぐ警告。
2026年10月20〜21日、PHP・Node.js のセキュリティ更新と eMudhra 中間証明書の問題が相次いで公表され、ウェブサイトの運用、接続の信頼性、アプリケーション更新に影響しました。企業は複数の技術領域のリスクと対応状況を同時に把握する必要がありました。
eMudhra
製品横断の信頼更新中間証明書8枚の弱い秘密鍵により、ブラウザー、システム、ウェブ接続の信頼更新が必要になりました。
一次資料 ↗Node.js
深刻度「高」が4件CVE は高4件、中3件、低3件の計10件。Brotli のリモートコード実行脆弱性 CVE-2026-111497 を含みます。26.12.1、24.22.1、22.23.4 で依存関係と証明書の信頼も更新しました。
一次資料 ↗今回の発表はソフトウェア修正、証明書の信頼更新、依存関係の更新を含みます。Node.js の更新にも eMudhra 対応が含まれます。
02 / OBSERVATORY
AI モデルの進歩とともに、脆弱性の公開件数は急増。
2026年10月1〜21日の NVD の CVE 公開件数は12,543件。前年の同じ21日間の2,719件に対し、約4.6倍に達しました。グラフは33か月の完了月と10月21日までの記録に AI モデルの発表日を重ねています。進行中の10月は斜線で示します。
+361.3%2026年10月1〜21日2025年同期との比較
公開脆弱性
2,719 → 12,54312,543
今月の CVE 公開件数
2026/10/01〜10/21 · UTCCVE 公開記録 / 追加記録2024.01 — 2026.10 · 10月21日まで
NVD の公開日と noRejected 条件で集計。10月は21日まで（UTC）。記録の追加や状態変更に伴い件数は更新されます。 斜線は10月1〜21日の合計。3か月移動平均は9月までを計算しています。
数値と欠測を確認
| 期間 | CVE | CISA KEV | 期間累積 CVE |
|---|---|---|---|
| 2024-01 | 2,594 | 21 | 2,594 |
| 2024-02 | 2,778 | 9 | 5,372 |
| 2024-03 | 3,309 | 10 | 8,681 |
| 2024-04 | 3,621 | 10 | 12,302 |
| 2024-05 | 4,999 | 14 | 17,301 |
| 2024-06 | 3,078 | 9 | 20,379 |
| 2024-07 | 3,113 | 14 | 23,492 |
| 2024-08 | 2,896 | 19 | 26,388 |
| 2024-09 | 2,514 | 25 | 28,902 |
| 2024-10 | 3,564 | 17 | 32,466 |
| 2024-11 | 4,056 | 22 | 36,522 |
| 2024-12 | 3,431 | 16 | 39,953 |
| 2025-01 | 4,275 | 14 | 44,228 |
| 2025-02 | 3,673 | 27 | 47,901 |
| 2025-03 | 3,998 | 32 | 51,899 |
| 2025-04 | 4,034 | 15 | 55,933 |
| 2025-05 | 3,980 | 24 | 59,913 |
| 2025-06 | 3,681 | 20 | 63,594 |
| 2025-07 | 3,776 | 20 | 67,370 |
| 2025-08 | 3,628 | 15 | 70,998 |
| 2025-09 | 4,321 | 16 | 75,319 |
| 2025-10 | 4,273 | 31 | 79,592 |
| 2025-11 | 3,021 | 11 | 82,613 |
| 2025-12 | 5,491 | 20 | 88,104 |
| 2026-01 | 4,302 | 17 | 92,406 |
| 2026-02 | 4,616 | 28 | 97,022 |
| 2026-03 | 6,234 | 26 | 103,256 |
| 2026-04 | 5,810 | 31 | 109,066 |
| 2026-05 | 6,936 | 21 | 116,002 |
| 2026-06 | 7,942 | 23 | 123,944 |
| 2026-07 | 9,770 | 26 | 133,714 |
| 2026-08 | 12,258 | 31 | 145,972 |
| 2026-09 | 14,933 | 43 | 160,905 |
| 2026-10 · 10月1〜21日 · 月途中 | 12,543 | 24 | 173,448 |
CVE は NVD API の公開日別クエリ、KEV は CISA 公式目録を集計。2026年10月22日取得、10月は21日まで（UTC）とし、両年の同じ21日間を比較しています。
モデルの節目前後の月を確認
選定したモデルの発表・利用開始時点です。利用形態と日付は出典に紐付けています。
公開前の完了3か月平均3,683.72024-10 → 2024-12
公開後の完了3か月平均3,901.72025-02 → 2025-04
変化 · CVE+5.9%open weights + API
公開月を別にして、前後各3完了月の平均追加数を比較。節目周辺の変化を記述的に観測します。追加分析に必要な変数は調査方法に記載しています。
03 / THE RESPONSE CLOCK
脆弱性の発見から修正まで、何があったのか。
Calif は GPT-5.6 Sol を使って PHP の脆弱性を調べました。8月の発見から10月の修正公開までには、報告、問題の再現、公開日の調整がありました。研究チームと保守担当者がいつ何をしたのかをまとめています。
この事例の発見から修正までの間隔は81日です。Calif、CERT-EU、OpenAIの記録から整理しました。
04 / GLOBAL CASES
台湾から世界へ。企業のサービスをつなぐ共通のリスク。
91APP は商取引データベースへの攻撃を報告しました。Zeabur の調査は複数地域の運用環境に及び、Railway は環境変数へのアクセスの可能性を公表しています。台湾の企業に身近なサービスからクラウド基盤まで、企業データ、認証情報、関連サービスのつながりが見える事例です。
91APP
91APP は Commerce Cloud データベースへの自動攻撃と、一部情報の取得を公表しました。
外部調査を開始し、影響を受けた顧客にメールで通知して対応を案内しています。
一次資料 ↗Zeabur
Zeabur は環境変数とアカウント情報へのアクセスを確認。内部認証情報の更新不足が判明しました。
事件は複数地域の運用環境に及び、関連サービスの認証情報や API キーにも関係しています。
一次資料 ↗Railway
Railway の調査では、第三者が一部環境変数の復号内容を取得した可能性が示されています。
10月22日の続報：Railway はバケット認証情報をリセット。利用者にはバケットサービスの再デプロイ、GitHub の再接続、Railway から削除されたレジストリトークンを GitHub 側で失効させる対応が求められています。
一次資料 ↗ · Railway · 2026.10.22 ↗JAPAN / 2026.10.21
日本の首相が、脆弱性への対応を直接要請。
2026年10月21日、高市早苗首相はXで注意を呼びかけました。公開ウェブサイトでのPHP利用を確認し、重大な2件の脆弱性に対して同日23時（日本時間）に公開予定とされた修正パッチを、速やかに適用できるよう準備することを求めています。
元の投稿を読む ↗
05 / SPENDING & INCIDENT COSTS
セキュリティ支出は拡大予測。企業決算には被害対応の費用。
IDCの市場予測、IBM／Ponemonの漏えい調査、M&Sの決算は、それぞれ年間支出の規模、漏えいの平均コスト、1社の復旧費用を示しています。
資料確認：2026.10.22
市場予測
世界の年間セキュリティ支出予測
IDCが2026年3月3日に公表した、セキュリティ製品・サービスの支出予測。2029年の予測額は2026年を約40%上回ります。
IDC · 2026.03.03 ↗企業の事件対応費用IBM / Ponemon · 2026年標本調査 M&S · 2026.03.28終了年度
漏えいの平均コストと企業の計上費用
漏えい1件あたりの標本平均コスト
US$4.99M対象は2025年3月から2026年2月に漏えいを経験した602組織。標本のうち、AIを利用した悪意ある漏えいの平均コストはUS$6Mでした。
IBM · 2026.07.29 ↗計上済みの事件関連費用
£131.3Mシステム対応、復旧、専門家の支援にかかった費用です。M&Sは保険金£100Mを別途計上し、売上や営業中断への影響を決算の別項目で説明しています。
M&S · 2026.05.20 ↗世界市場、複数企業の調査標本、1社の決算という対象ごとに掲載。金額は元の通貨で表示しています。
06 / OPEN METHODOLOGY
資料の収集と整理の方法。
出典とデータの整理
Protico Labs の資料と出典
本特集では米国国立脆弱性データベース（NVD）、CISA、CVE Program の公式データと、企業、研究チーム、公的機関による事件の発表を使用しています。以下に元ファイル、収集日、計算方法を示します。
月次 CVE｜NVD 公式 API
NVD API を UTC の公開日で月ごとに照会し、noRejected で却下済み記録を除外した totalResults を件数に使用しています。元の API 応答はデータパッケージに収録しています。
API データ取得日 · 2026-10-22
出典を開く ↗CISA KEV｜公式カタログ
公式 CSV の dateAdded で月次追加数を集計します。CVE ID ごとに1行で、日付は CISA カタログの記録に従います。
最新追加日 · 2026-10-20
出典を開く ↗四半期 CVE｜公式参照値
CVE Program の metrics JSON にある四半期値を独立した参照値として保存し、月次合計とその差分を併記します。
この版で公表済みの期間 · 2026-Q2
出典を開く ↗収集と整理の手順
元ファイルを保存する
NVD API の月別応答、両年の10月1〜21日の照会結果、CISA の CSV、CVE Program の四半期 JSON を保存しています。照会期間、取得日、SHA-256 を記録し、ファイルの一致を確認できるようにしています。
月と比較日数をそろえる
完了月の系列は2024年1月〜2026年9月の33か月です。2026年10月1〜21日は途中集計の棒として別に表示します。上部の前年比は2025年と2026年の10月1〜21日を比較し、両年とも21日間にそろえています。
数値と事件の記録を照合する
スクリプトで月次、累積、同期間の比較、CSV、四半期値を照合します。事例は元の発表に沿って、発見・公開・修正の日付と、AI の関与に関する説明を記録しています。
指標とグラフの読み方
- CVE とは？
- 公開脆弱性の共通識別子と記録です。本図は NVD に記録された CVE の公開日（UTC）で追加記録を集計し、却下済み記録を除外します。
- KEV とは？
- CISA が悪用の証拠を確認した脆弱性のカタログです。本図は dateAdded で月次追加を集計し、CVE 公開数とは別の系列で表示します。
- 前年同月とはどう比較する？
- 2026年10月1〜21日と2025年10月1〜21日を比較します。CVE は12,543件と2,719件で361.3%増です。計算式は（当期／前年同期−1）×100%です。
- モデル公開前後の比較は？
- 発表・利用開始月 m は別に扱い、選択指標の月次値を x[m] とします。前＝(x[m−3]＋x[m−2]＋x[m−1])／3、後＝(x[m＋1]＋x[m＋2]＋x[m＋3])／3。変化率＝(後／前−1)×100%。両側に完了3か月がそろった場合に変化率を表示します。
- 曲線の描き方は？
- 棒は月次件数を示し、10月は21日までの途中集計として別に表示します。移動平均は完了月のみを使い、当月と前2か月の算術平均です。最初の2点は利用可能な月で計算します。モデル公開前後の比較も完了月のみを使います。累積は2024年1月から加算し、10月の棒には当月の収録済み件数を加えます。
- さらに分析するには？
- モデルの日付は時間的な比較に用います。因果関係の研究には比較対象、収集方法、同時期の他の要因が必要です。世界の事件頻度には統一した収録範囲が必要です。支出は IDC の2026年3月3日予測、企業の費用は各通貨と対象期間を併記します。
用語の出典: NVD ↗ · CVE Program ↗ · CISA ↗
データと計算プログラムをダウンロード
数値を確かめたい方は、全データパッケージをダウンロードして展開し、下の Python 3 コマンドを実行してください。ファイルの一致、月次値、累積、前年同月との比較、四半期との比較を確認できます。CSV は完了33か月と10月途中集計の1行を収録しています。同梱ファイルだけを使い、オフラインでも実行できます。
全データパッケージ · ZIP ↓元の API 応答と資料スナップショット
- nvd/2024-01.json ↓
- nvd/2024-02.json ↓
- nvd/2024-03.json ↓
- nvd/2024-04.json ↓
- nvd/2024-05.json ↓
- nvd/2024-06.json ↓
- nvd/2024-07.json ↓
- nvd/2024-08.json ↓
- nvd/2024-09.json ↓
- nvd/2024-10.json ↓
- nvd/2024-11.json ↓
- nvd/2024-12.json ↓
- nvd/2025-01.json ↓
- nvd/2025-02.json ↓
- nvd/2025-03.json ↓
- nvd/2025-04.json ↓
- nvd/2025-05.json ↓
- nvd/2025-06.json ↓
- nvd/2025-07.json ↓
- nvd/2025-08.json ↓
- nvd/2025-09.json ↓
- nvd/2025-10.json ↓
- nvd/2025-11.json ↓
- nvd/2025-12.json ↓
- nvd/2026-01.json ↓
- nvd/2026-02.json ↓
- nvd/2026-03.json ↓
- nvd/2026-04.json ↓
- nvd/2026-05.json ↓
- nvd/2026-06.json ↓
- nvd/2026-07.json ↓
- nvd/2026-08.json ↓
- nvd/2026-09.json ↓
- nvd/2025-10-01-21.json ↓
- nvd/2026-10-01-21.json ↓
- kev_official_raw.csv ↓
- cve_official_metrics_raw.json ↓
保存先フォルダーで実行
python3 reproduce_counts.pyこの調査の引用
題名、取得日、指標と期間、本ページの URL を添えてください。図には出典の定義を残し、事例には一次発表も併記してください。
Protico Community Intelligence「PHP、Node.js、証明書に相次ぐセキュリティ警告。AI 時代、企業に残された対応時間は？」（The Response Gap）、データ取得日 2026-10-22；月次公開 CVE／CISA KEV、2024-01 → 2026-09; 2026-10-01 → 2026-10-21。
資料や気づきを、ぜひ共有してください
追加したい事件や、確かめたい数値はありますか。該当箇所や月、見つけた出典と一緒にロビーで共有すると、他の読者も確認できます。メールでの情報提供も歓迎します。
またはメールで連絡 ↗このページの書体について · ブランド表記には SIL Open Font License の Inter を当サイトから配信しています。本文は端末のサンセリフ体、数字とラベルは等幅書体です。アニメーションはいつでも停止できます。
01 / 資料の出典
脆弱性の件数は公開データベース、企業の事例は当事者の発表をもとにしています。CVE の公開記録、KEV の追加記録、企業の事件は、それぞれの単位で示しています。
02 / 日付の扱い
月次グラフは完了月と当月21日までの記録を示し、取得日も記載します。10月の前年同期比は両年とも同じ21日間で計算。事件は発見、公開、修正の日付を別に記録します。
03 / モデルの日付
公式発表と利用開始の記録を採用しています。発表前後の完了した3か月の平均値は、その時期の件数の変化を表します。原因の分析には、収集方法や同時期の他の要因も必要です。
04 / 事例の選び方
企業や研究チームが公開説明を行った事件を選び、影響したシステム、データ、対応状況を整理しています。確認済みの事実、影響の可能性、調査中の事項を区別しています。
05 / 金額の読み方
年、通貨、出典を併記し、推計、予測、企業が公表した影響額を示しています。市場支出、調査対象の費用、個別企業の損失は、それぞれの集計範囲とともに掲載しています。
06 / 読者からの情報提供
通報、通知の到達、修正の日時がそろった記録は、対応の流れを整理する資料になります。公開して引用できる情報や出典があれば、ぜひ議論に加えてください。
公式四半期データとの照合
CVE.orgとNVD由来研究は各々の記録状態、収録、取得時点で集計。両方の値と差を保持しています。公式2026Q3は更新待ちです。
| 四半期 | 月次研究の合計 | CVE公式四半期値 | 差 |
|---|---|---|---|
| 2024-Q1 | 8,681 | 8,697 | -16 |
| 2024-Q2 | 11,698 | 11,716 | -18 |
| 2024-Q3 | 8,523 | 8,591 | -68 |
| 2024-Q4 | 11,051 | 11,073 | -22 |
| 2025-Q1 | 11,946 | 12,009 | -63 |
| 2025-Q2 | 11,695 | 11,701 | -6 |
| 2025-Q3 | 11,725 | 11,738 | -13 |
| 2025-Q4 | 12,785 | 12,796 | -11 |
| 2026-Q1 | 15,152 | 15,163 | -11 |
| 2026-Q2 | 20,688 | 20,709 | -21 |
出典とデータの版
- CVE publications · NIST NVD API · retrieved 2026-10-22
- CISA KEV · official 2026-10-21 snapshot
- CVE official quarterly reference · separate series
- PHP · official release archive
- Calif · discovery and disclosure timeline
- CERT-EU · advisory 2026-018
- OpenAI · AI-assisted PHP discovery
- Mozilla · eMudhra intermediate certificates
- Cloudflare · eMudhra incident response
- Node.js · October 21 security release
- Zeabur · October incident investigation
- 91APP · Commerce Cloud statement
- Railway · October 21 disclosure
- Sanae Takaichi · public statement
- EuRepoC · scope and incident data
- University of Maryland · Cyber Events Database and collection changes
- IDC · March 3, 2026 security spending forecast
- IBM / Ponemon · July 29, 2026 breach cost study
- Marks & Spencer · FY2026 results
- PwC · 2027 Digital Trust Insights · published October 1, 2026
- Railway · October 22 credential reset and service recovery guidance
07 / サービス方針と利用者への説明
セキュリティ予算とともに、利用者への約束も見直す。
セキュリティ事件は、企業と利用者の責任や信頼にも関わります。Protico は、利用規約、プライバシーの説明、社内手順がこうした変化にどう対応するかに注目しています。NIST、CISA などの公開指針から、通知、役割分担、支援窓口に関する五つの観点を整理しました。
- 01
顧客・利用者と、インシデント対応方針を改めて確認する。
顧客や利用者と、問題が起きたときの標準的な対応手順を再確認します。対応を始める条件、担当者、連絡方法、続報の時期を共有し、サービス停止中も窓口を確認できるようにして、影響範囲と対応状況を伝えます。
- 02
それぞれがすることを、具体的に伝える。
会社が担う更新、アカウント保護、データ管理を説明します。利用者が端末の更新、認証情報の再設定、不審なログインの確認を行う場面も、身近な例で示します。
- 03
外部ツールのセキュリティ要件と基準を継続的に把握する。
外部サービスや AI ツールのセキュリティ要件、データの利用目的、アクセス権限、インシデント通知、支援体制を定期的に確認します。提供元が機能、規約、安全対策を変更した際は、現在の利用方法への影響を確認し、社内ルールと対応手順を見直します。
- 04
困った人が、すぐに相談先を見つけられるように。
アカウント復旧、データの開示・訂正・削除の申請方法や苦情窓口を、見つけやすい場所にまとめます。規約を変える際も、利用者の法的な権利を守ります。
- 05
同僚と一緒に、対応を一度やってみる。
不審なメッセージ、アカウント乗っ取り、取引先からの警告を想定します。サポート、製品、法務、セキュリティの担当者で対応を試し、誰が引き継ぐかを確認して、滞る部分を直します。
Protico Community Intelligence は、コミュニティに分散する兆候を企業が追える情報に整理し、担当者による確認と対応を支えます。利用者への約束を日々の業務につなげるためです。
サービス方針と説明に関する参考資料
- NIST SP 800-61 Rev. 3 — Incident Response Recommendations ↗
- NIST Cybersecurity Framework 2.0 ↗
- U.S. and International Partners Publish Secure-by-Design and -Default Principles and Approaches ↗
- NIST AI 600-1 — Generative Artificial Intelligence Profile ↗
- 台灣個人資料保護法：第 3、8、12 條及生效狀態 ↗
- Effective steps to cyber exercise creation ↗
メディア・クリエイター・研究者の方へ
この資料を、次の報道や発表に。
Protico が制作した文章、分析、図表は、商用メディアを含め、引用・翻訳・編集してご利用いただけます。「Protico Community Intelligence」と原文のリンク、資料の日付を記載し、翻訳や変更がある場合はその旨を添えてください。この範囲であれば個別の申請は不要です。
パックの内容
4 言語の参考資料、出典一覧、指標の定義、編集可能な図表、ファイル一覧を収録しています。報道、発表、調査ツールでの確認にご利用ください。
メディア・Agent 資料パックをダウンロード ↓
- 調査スナップショット
- 2026-10-22
- 完全な月次データ
- 2024-01 → 2026-09
そのまま使える出典表記
資料整理・分析：Protico Community Intelligence — PHP、Node.js、証明書に相次ぐセキュリティ警告。AI 時代、企業に残された対応時間は？ · 資料確認日: 2026-10-22 · https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/ja/
翻訳、抜粋、変更がある場合は明記してください。
この許諾は Protico の独自制作部分のみが対象です。第三者の報告書、データセット、投稿のスクリーンショット、ロゴは、それぞれの許諾や適法な利用の条件に従います。資料パックでは出典へのリンクを示しており、第三者の権利を許諾するものではありません。 利用条件を読む ↗
POWERED BY COMMUNITY INTELLIGENCE
Community Intelligence。
その力は、想像以上に。
コミュニティで共有される経験や疑問、リスクの兆しは、企業が変化を理解する手がかりになります。Protico Community Intelligence は、そうした会話と公開資料を結び付け、事業に関わる情報の発見、判断、早めの対応を支援します。