■ はじめに：なぜ“Critical”がニュースになるのか

2026年10月、PHPに深刻度 “Critical（CVSS 9.2）” の脆弱性が発覚し、 行政・大学・ECサービス・ゲームなどが一斉に緊急メンテナンスを実施しました。

このニュースで多くの人が疑問に思ったのが、

Criticalって何？どれくらい危険なの？

という点。

本記事では、脆弱性評価の国際基準である CVSS（共通脆弱性評価システム） をもとに、 Critical の意味と危険度を専門的に、しかしわかりやすく解説します。

■ CVSSとは？脆弱性の危険度を数値化する国際基準

CVSS（Common Vulnerability Scoring System）は、 脆弱性の危険度を 0.0〜10.0 の数値で評価する世界標準の指標です。

CVSSの目的

• 脆弱性の危険度を客観的に判断する
• 対応の優先順位を決める
• 世界中の企業・政府が共通の基準で対策できるようにする

■ “Critical”の定義｜CVSS 9.0〜10.0の最も危険な脆弱性

CVSSでは危険度を4段階に分類します。

深刻度	CVSSスコア	内容	対応優先度
Critical	9.0〜10.0	認証不要でシステム乗っ取り可能	即時対応
High	7.0〜8.9	権限昇格・情報漏洩の可能性	早急対応
Medium	4.0〜6.9	一部機能の悪用	定期対応
Low	0.1〜3.9	影響限定的	通常対応

Critical が意味すること

• 認証不要で攻撃可能（ログイン不要）
• リモートからコード実行（RCE）が可能
• サーバー内部に侵入される可能性が高い
• データ漏洩・改ざん・乗っ取りが起こり得る
• 即時対応しないと被害が拡大する

つまり、Critical は 「最も危険で、最も早く対応すべき脆弱性」 という意味です。

■ PHP脆弱性が“Critical”と評価された理由

今回のPHP脆弱性（CVE-2026-109618 / CVE-2026-109619）は、 以下の理由で Critical と判断されました。

✔ 認証不要で攻撃可能

攻撃者はログイン不要で攻撃できる。

✔ ファイルアップロードリクエストだけで悪用可能

特別なツールや高度な技術が不要。

✔ メモリ内のデータが漏洩する可能性

パスワード・APIキー・認証トークンなどが流出し得る。

✔ Web全体に影響する

PHPは世界のWebサイトの約70%で使用されているため、 影響範囲が非常に広い。

■ Critical脆弱性が引き起こす可能性のある被害

Critical の脆弱性が放置されると、以下の被害が起こり得ます。

● ① サーバーの乗っ取り

攻撃者が自由にコードを実行できる状態になる。

● ② 顧客情報の漏洩

メールアドレス、パスワード、住所、決済情報など。

● ③ Webサイトの改ざん

フィッシングページに書き換えられる可能性。

● ④ 不正アクセスの踏み台化

他のサイトへの攻撃に利用される。

● ⑤ 企業の信用失墜

情報漏洩はブランド価値を大きく損なう。

■ Critical脆弱性がニュースになる理由

Critical は「最も危険」な脆弱性ですが、 ニュースになる理由はそれだけではありません。

✔ 影響範囲が広い（PHPは世界のWebの基盤）

✔ 攻撃がすぐ始まる（Cloudflareが初期攻撃を確認）

✔ 古い環境が多く、アップデートが遅れやすい

✔ 情報漏洩事件と構造的に関連している

つまり、Critical は “社会的影響が出る可能性が高い脆弱性” という意味も含んでいます。

■ サイト運営者が取るべき対応

Critical脆弱性が発表されたら、以下を即時対応する必要があります。

✔ PHPのバージョンを最新化

✔ WordPress本体・テーマ・プラグインを更新

✔ mod_php環境は特に注意

✔ サーバー会社のメンテ情報を確認

✔ 不審なアクセスログをチェック

Critical は「後回しにしてはいけない脆弱性」です。

■ まとめ：Criticalは“最も危険で最も急ぐべき脆弱性”

Critical は CVSS の中で最も危険な評価であり、

• 認証不要
• リモートコード実行可能
• データ漏洩の可能性
• サーバー乗っ取りの可能性
• 影響範囲が広い

という特徴を持ちます。

今回のPHP脆弱性がニュースになったのは、 Webの基盤そのものに影響する可能性があるためです。

サイト運営者は、 Critical の意味を理解し、 脆弱性発表後は迅速に対応することが重要です。