PHP2Shellと同じ週に国内で大きく報じられたのが、GMOインターネットが提供するFX自動売買向けのVPS「お名前.com デスクトップクラウド」への不正アクセスである。VPSについてもDevSecOpsが同様に必須なことを書き加えた。 tomabechi.jp/CyberResilience… 侵入の経路は公表されていない。GMOは「本サービスのシステムにセキュリティ上の問題が存在」したとしているが、PHPが稼働していたか、PHP2Shellが関係したかは明らかにされていない。 不正なプログラムの確認は10月20日であり、PHP2Shellの修正版の公開（21日夜）より前、公表前の悪用の試みが観測された17日より後であるが、時期が近いことだけでは両者の関係は推定できない。 本稿は本件をPHP2Shellの被害として数えない。また、攻撃者側の主張（侵入や情報窃取の経路など）は検証されていない。 それでも、本件は本稿の主張にとって重要である。 第一に、VPSという提供形態でも、被害は利用者のサーバーの内側に及んだ。不正なプログラムは利用者のサーバー環境に置かれ、サーバー内に保管された取引口座の認証情報が狙われた。 仮想化の境界は契約者どうしを分けても、各サーバーの内側で動くソフトウェアと、そこに置かれた秘密情報を守るものではない。さらに事業者は利用者の端末を預かって解析しており、懸念は利用者自身の端末にも及んでいる。 第二に、事業者は被害の拡大を防ぐため、全プランのサーバーを停止した（影響の可能性があるとされたのは2万6,739件）。多数のサーバーに通じる管理画面、サーバーの作成・復元、遠隔接続の基盤は、一点が破られれば全体に波及し得る共通の管理基盤である。 本件でどの部分が破られたかは公表されていないが、全体の停止を選ばざるを得なかったことは、この危険を示している。 第三に、事業者は既存の基盤をそのまま再開しない方針を示し、利用者には独立したクラウド基盤上の代替サービスへの移行を案内した。侵害された環境を使い続けず、信頼できる状態から作り直すという点で、第10節の不変インフラの考え方に通じる。 したがって、PHPが稼働していたか否かにかかわらず、この事案が組織に突き付けた問いはPHP2Shellと同じである。 どこで何が動いているか（資産台帳）。誰がいつ修正し、それが稼働中の実体に反映されたか（更新の責任と証拠）。 サーバーにどの秘密情報が置かれ、侵害時にどこまで到達されるか（最小権限と秘密情報の管理）。 認証情報とセッションを直ちに失効できるか（対応）。信頼できる成果物から作り直せるか（復旧）。 VPSへの移行は、これらの問いを事業者と利用者の間で分担し直すだけであり、問いそのものを消すものではない。DevSecOpsの体制は、自前のサーバーでも、VPSでも、クラウドでも必須である。 日本語 tomabechi.jp/CyberResilience… English tomabechi.jp/CyberResilience…

Policy and engineering paper For government officials Reengineering National Cyber Resilience Around Existing Systems A Two-Stage DevSecOps Policy Informed by PHP2Shell, the History of ARPANET, UNIX and Mach, and Memory Safety Hideto Tomabechi tomabechi.jp/CyberResilience… Abstract In October 2026, two defects discovered at the core of the PHP runtime (CVE-2026-109618 and CVE-2026-109619, known as PHP2Shell) forced the simultaneous shutdown of web services in government, finance, transport, broadcasting and commerce across many countries, Japan among them. In Japan alone, at least 246 organisations, including national ministries, local governments, banks, an airline, electric utilities, universities and hosting providers, announced service suspensions. Government websites in Europe and Canada were taken offline as a precaution. At a European government entity, post-compromise lateral movement was confirmed, and the attacker’s activity showed signs of an AI agent. [52,53,57,58] This paper treats the incident not as an isolated bug but as the expression of a structural problem. PHP applications are written in PHP, but the engine that runs them is written in C. C and UNIX were created for a small, mutually trusting research community, and they still delegate the correctness of memory allocation and release to the programmer. Public administration now runs on this foundation at scale, in an environment where anonymous attackers, including state actors, are permanently connected. The world’s operating systems and language runtimes cannot be replaced at once. The central thesis of this paper is that without fundamentally changing the operating system or programming language, governments can redesign development, procurement, deployment and operations as DevSecOps, and in doing so shrink the attack surface, the probability of compromise, the reach of an intruder, the time to remediate and the time to recover; and these effects multiply. As a second stage, high-risk components that process external input should be migrated progressively, with AI assistance, to languages and runtimes with strong memory safety and fault isolation, such as ANSI Common Lisp, Erlang and Rust. The paper establishes the facts of the incident from primary sources and from inspection of the fix itself, explains the origin of today’s risk through the history of ARPANET, UNIX, BSD and Mach, and proposes the controls and implementation sequence that governments should mandate. It aims at a level of rigour that engineers can verify while giving policymakers plain-language explanations in every section. All code shown was compiled and run in the author’s environment, and its output is reproduced.

政策・技術論文 各国政府関係者向け 既存資産を活かす国家サイバー耐性の再設計 PHP2Shell、ARPANET・UNIX・Machの歴史、メモリ安全性から導く二段階のDevSecOps政策 苫米地英人 tomabechi.jp/CyberResilience… 要旨 2026年10月、PHP処理系の中核で発見された二つの欠陥（CVE-2026-109618、CVE-2026-109619、通称PHP2Shell）は、日本を含む多数の国で行政・金融・交通・報道・商取引のWebサービスを一斉に停止させた。日本では国の機関、自治体、銀行、航空、電力、大学、ホスティング事業者を含む少なくとも246組織がサービス停止を告知し、欧州・カナダでも政府サイトが予防的に閉鎖された。欧州の政府機関では侵入後の横展開が確認され、攻撃者がAIエージェントを用いた形跡も報告された。[52,53,57,58] 本稿は、この事件を個別の不具合ではなく構造的な問題の現れとして扱う。PHPのアプリケーションはPHP言語で書かれるが、それを実行するエンジンはC言語で書かれている。C言語とUNIXは、参加者が限られ相互に信頼し合う研究共同体の時代に生まれ、メモリの確保・解放の正しさをプログラマに委ねる設計を今も受け継いでいる。今日の行政情報システムは、匿名かつ国家主体を含む攻撃者が常時接続してくる環境で、この基盤を大規模に使い続けている。 しかし、世界中のOSと言語処理系を一度に置き換えることはできない。本稿の中心的主張は、OSやプログラミング言語を根本的に変えなくても、開発・調達・配備・運用の仕組みをDevSecOpsとして再設計すれば、攻撃にさらされる面、侵害の成立、侵害後の到達範囲、修正までの時間、復旧能力をそれぞれ縮小でき、それらの効果は掛け算で効くという点にある。その上で第二段階として、外部入力を処理する高リスク部品から、ANSI Common Lisp、Erlang、Rustなどメモリ安全性と障害隔離に優れた言語・ランタイムへ、AIを補助に用いながら段階的に移行する。 本稿は、事件の事実関係を一次資料と修正コードの確認によって整理し、ARPANET・UNIX・BSD・Machの歴史から現在のリスクの由来を説明し、各国政府が義務化すべき統制と導入工程を提案する。技術者が検証できる厳密さを保ちつつ、政策担当者が判断に使えるよう、各節に平易な解説を付した。掲載コードは筆者の作成環境で実際にコンパイル・実行し、出力を併記した。 キーワード：サイバーレジリエンス、DevSecOps、メモリ安全性、PHP2Shell、ゼロトラスト、ソフトウェア供給網、Common Lisp、Erlang、Rust、政府調達 政策・技術論文 tomabechi.jp/CyberResilience… 英語版 tomabechi.jp/CyberResilience…