池田＠無名なほう

ここ数日、Ｘ界隈をにぎわしている元エンジニアのゆうこく連合支持者のＭＤさんの例のポストをガチ目にチェックしてみました😀 元エンジニアとか言ってる割にはあまりにも無知すぎるので私が思うにこの方はメインフレーム系の技術者だったりしないかな・・と思いました。では 【PHP脆弱性対応で「クラウドなら自動で直る」は誤りです】 添付画像のポストで「高市首相の指示は意味不明。AWSなどのクラウドならパッチは勝手に当たるから、深夜にエンジニアを呼ぶ必要はない。だからオンプレからクラウドに移行するのが主流。まだオンプレでPHPを使ってるから攻撃される」との主張がありました。 これはクラウドの仕組みを誤解しています。 ■ 事実確認 1. AWSはPHPを自動で直してくれません AWSの共有責任モデルでは、インフラ（物理サーバーやハイパーバイザー）はAWSが管理しますが、EC2などの仮想サーバー上で動くOSやPHPは利用者が自分でパッチを当てる責任です。 2. 今回の脆弱性は「場所」ではなく「PHP本体」の問題 CVE-2026-109618 / CVE-2026-109619（PHP2Shell）はPHPランタイム自体の未認証RCEです。オンプレでもクラウドでも、脆弱なPHPを動かしていれば同じリスクです。 3. 「クラウド＝全部自動」は誤解 完全マネージドなサービスを使っている場合は別ですが、多くの企業はクラウド上に自分でPHPを載せています。その場合、オンプレと同じく自分で対応が必要です。 ■ わかりやすい例え AWSは「建物」を貸してくれる大家です。 PHPは入居者が持ち込んだ「調理器具」です。 建物の耐震工事（インフラパッチ）は大家がやってくれますが、調理器具のガス漏れ（PHPの脆弱性）は自分で直す必要があります。大家に「勝手に直してくれ」は通用しません。 高市首相の呼びかけは「PHPを使っている人はパッチを当てるか、難しければ一時停止も検討せよ」というもので、オンプレ・クラウド問わず妥当な内容です。 「クラウドだから大丈夫」という思い込みこそ、一番危ないパターンです。