深刻度9.2のPHP脆弱性2件がPHP 5.4まで影響、発見にはAIが貢献

ニュース概要

2026年10月21日、PHPプロジェクトは、Webリクエストを処理するサーバー上で認証なしのリモートコード実行を許容する可能性のある2件の深刻な脆弱性（CVE-2026-109618およびCVE-2026-109619）に対し、緊急セキュリティリリースを公開しました。これらの脆弱性は言語ランタイムの長年にわたって存在する部分に潜んでおり、高度なAIモデルの支援によって発見され、Webの非常に大きな割合を支える技術に影響を及ぼします。TechCrunchは同日太平洋夏時間（PDT）午前10時59分に記事を公開し、セキュリティ研究者、クラウドプロバイダー、ホスティング企業は終日、サイト運営者に更新を促しました。

何が判明したか

Google Cloud、Patchstack、The Hacker Newsが伝えたPHPのアドバイザリによると、両脆弱性はいずれもCVSS v4.0スコア9.2で「深刻（Critical）」レベルに分類されます。一方はメモリのライフサイクルに関するバグと説明されており、リクエストが所有する内部状態が、その背後にあるメモリが解放された後も残存してしまう問題です。Wiz Researchによれば、2件のうち少なくとも1件はPHP 5.4まで遡るすべてのバージョンに影響し、TechCrunchは2004年に始まったPHP 5の時代からこの脆弱性が存在していたと指摘しています。一部の報道では、この2件に「PHP2Shell」という通称が付けられています。攻撃者はこの脆弱性を悪用して、サーバーのファイルシステムやWebアプリケーションが使用するデータベースにアクセスできる可能性があります。

誰がどのように発見したか

OpenAIは、「Patch the Planet」イニシアチブの下で、メンテナー、研究者、セキュリティプロバイダーからなる連合を約2か月間主導してこの問題に取り組んだと述べています。セキュリティテスト企業CalifはOpenAIのGPT-5.6 Solモデルを用いて深刻な脆弱性を特定し、OpenAIはWizが両脆弱性を独自に発見・報告したとしています。ある報道では、Califが8月に初期バージョンのバグを発見し、9月により完全な形の問題が明らかになったという経緯が紹介されています。

現在Google傘下となったWizは、同社チームが独自のWiz Atlasセキュリティエージェントと、GoogleのGemini 4 Argon、OpenAIのGPT-5.6 Solを組み合わせたとしています。Wizの報告によれば、これらのツールは脆弱性の発見、概念実証エクスプロイトの構築、検知ロジックの作成、修正の検証に役立ちました。WizはWordPress、Drupal、Joomlaの現行コンテナイメージに対して認証なしリモートコード実行を実演し、さらにパスワード、トークン、APIキーを保持し得るPHPワーカーのメモリを読み取れることも示しました。AIによる作業がどの程度自律的であったかについては報道によって異なり、アナリストは今回の開示内容がすべてモデル単独で発見されたわけではないことを示していると指摘しています。人間の研究者とPHPメンテナーが引き続き中心的な役割を果たしました。

修正内容と取るべき対応

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、いずれも2026年10月21日に公開されました。PHP 8.1以前はサポート終了となっており修正は提供されないため、これらの系統を使用している運営者はサポート対象バージョンへ移行する必要があります。PHPは、Webリクエストを提供しているすべてのインストールが危険にさらされており、Apacheのmod_phpを使用する構成で最もリスクが高いと述べました。Wizは、このパッチが他の派生問題を含め根本的な原因に対処していると説明しています。

米国国家安全保障局（NSA）は2026年10月21日水曜日に「NSA Advisory: PHP Updates（NSAアドバイザリ：PHPアップデート）」というタイトルの勧告を公開しました。直ちにパッチを適用できないサイトは、対策が講じられるまでオフラインにするよう推奨し、より具体的なガイダンスを後日発表すると述べました。CISAも迅速なパッチ適用を促すアラートを発行しました。コンプライアンス対応においては正確な文言が重要となるため、運営者は元のアドバイザリを直接確認すべきです。

影響範囲はどれほどか

TechCrunchはW3Techsのデータを引用し、サーバーサイド言語が検出可能なWebサイトの約70%をPHPが支えていると示し、一部の推計では影響を受けるサイト数が数千万に上ると指摘しています。PHP上で動作するWordPressは、この問題は自社ソフトウェア固有のものではないと述べています。WordPress CMSを運用するサイトは、サーバーのPHPランタイムを更新し、ホスティングプロバイダーと連携する必要があります。Wizは対応への協力についてAutomattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercelに感謝を示し、OpenAIも参加者としてCloudflareの名前を挙げています。

悪用の状況

事態はまだ進行中です。OpenAIは、研究者が攻撃者より先に脆弱性を発見したと述べており、CISAはアラート発行時点で悪用は確認されていないと報告しました。一方で、初期段階の調査活動があったとする報道もあります。Patchstackはテレメトリデータから調査試行を確認したが侵害の確固たる証拠はないとし、The Hacker Newsはエクスプロイト試行が出現しつつあると伝えました。Cloudflareは同日、詳細情報が漏洩しており、攻撃者が一部顧客を狙っていると述べました。読者は状況を初期段階と捉え、修正内容が公開された以上、未パッチのサーバーは現在リスクにさらされていると想定すべきです。

科学技術にとってなぜ重要か

今回の事例は、現代のAIモデルが数十年にわたる大規模なコードベースを読み解き、人間のレビュアーや従来のファジングが見逃してきた微妙なメモリ処理エラーを浮き彫りにできることを示しています。Wizは、言語モデルがエクスプロイトを異なるPHPバージョン、構成、メモリレイアウトに適応させる手助けをするため、AIは攻撃者のハードルも下げると警告しました。そのため、研究者が公開前に非公開でメンテナーと協力してパッチを作成する、協調的で責任ある開示がより重要になります。OpenAIは広く使われているソフトウェアにおける深刻な脆弱性への対応に向けた5段階フレームワークを提案し、管理者が自環境の影響有無を確認できるよう、PHPバージョンチェッカーをCodexスキルとして公開しました。

サイト運営者が実践すべき手順

すべてのサーバー、コンテナイメージ、共有ホスティングプランで稼働しているPHPバージョンを確認してください。使用中の系統に応じて8.5.12、8.4.27、8.3.36、または8.2.35へアップグレードし、新しいランタイムが読み込まれるようWebサーバーとPHPワーカーを再起動してください。PHP 8.1以前からは移行してください。即時の更新が不可能な場合は、NSAのガイダンスに従い、パッチ適用までサイトをオフラインにすることを検討してください。更新後は、サーバーメモリに露出した可能性のある認証情報やAPIキーをローテーションし、ログに異常なリクエストがないか確認してください。