セキュリティ企業の Wiz Research は、2026 年 10 月 21 日にコア PHP エンジンの一連の重大な脆弱性を公開し、これらの欠陥 (総称して PHP2Shell と呼ばれる) により、すべての Web サイトの推定 70% を動作させるソフトウェア上で認証されていないリモート コード実行とハートブリード スタイルのメモリ漏洩が可能になると警告しました。 PHP プロジェクトは同日にパッチをリリースし、Wiz は Web の膨大なインストール ベース全体で即時アップデートを行うよう促しています。

PHP はインターネットの多くのバックボーンであり、WordPress、Joomla、Drupal、および Wikipedia を実行するソフトウェア MediaWiki を支えています。重要なのは、新たに明らかになったバグは、PHP のコア エンジン内に存在し、その上に構築されたアプリケーション内には存在しないということです。つまり、サイト自体のアプリケーション コードが安全であっても、サイトが公開される可能性があります。 この件の詳細は、AIの最新動向をご覧ください。

脆弱性とは何か

研究者の Sagi Tzadik 氏、Shir Tamari 氏、Nir Ohfeld 氏、Tomer Schwartz 氏による Wiz の技術文書によると、開示されたバグはすべて、PHP がリクエスト処理中に致命的なエラー、特にメモリ不足エラーを処理する方法に根ざしたメモリ安全性の問題です。クラッシュしたリクエストにより破損した内部 PHP 状態が残る可能性があり、その古い状態を再利用する後のリクエストまたはワーカーによってメモリ開示またはメモリ破損が引き起こされる可能性があります。

調査結果は、最大重大度 CVSS 9.2 の 2 つの CVE にグループ化されました。

  • CVE-2026-109618 — 攻撃者がリモート プロセス メモリの開示、および実証済みのチェーンで完全なリモート コード実行に利用できるアップロード進行アンシリアライザの解放後の使用。 Wiz は、WordPress、Drupal、Joomla での PHP ワーカー メモリと事前認証 RCE の未認証の開示を実証しました。
  • CVE-2026-109619 — 致命的なエラー バックトレースの解放後の使用と OPcache タイプの混乱が組み合わされ、Drupal および WordPress で認証前リモート コード実行が発生することも実証されました。

攻撃者が読み取ることができるメモリには、他のリクエストまたはサーバー自体に属するパスワード、認証トークン、API キー、証明書が含まれている可能性があるとウィズ氏は述べています。過去 10 年間にリリースされたすべての PHP バージョン (PHP 5.4 まで遡る) は、少なくとも 1 つの脆弱性の影響を受けており、同社によれば、これらの脆弱性は、これまでに PHP で見つかったものの中で最も重大な欠陥の一つにランクされるとのことです。

AI が登場する場所

Wiz のレポートで最も重要な主張は、PHP に関するものではまったくありません。フロンティア AI モデルが開発を悪用するために何をしたかに関するものです。

根本的な欠陥は何十年も前から存在していたが、悪用可能性を証明するには「人間の研究者が実際に達成できる限界に達する、非常に複雑な一連のステップ」が必要だったとウィズ氏は書いている。このエクスプロイトでは複数の欠陥を連鎖させ、テストとデバッグを繰り返すことで各ターゲットのメモリ レイアウトに適応させる必要がありました。

同社によれば、フロンティア AI モデルはその障壁を大幅に軽減し、「長年の欠陥をエクスプロイトに変える」ことで、Wiz のチームが複数のアプリケーションにわたって実用的なエクスプロイトを数週間ではなく数時間で開発、適応できるようになったという。

「この作業に必要な時間と専門知識が減少するにつれて、複雑さは意味のある障壁にはならなくなり、実際に何が脆弱かを定義する方法が変化する可能性がある」と研究者らは書いている。

AI 時代の転換点?

Wiz は、PHP2Shell を Web セキュリティにおける初期の 2 つの転換点と並べて明示しています。インターネットを保護する共有インフラストラクチャの脆弱性を暴露した 2014 年の Heartbleed と、深く埋め込まれたソフトウェアの依存関係が広範囲にわたる暴露を引き起こしていることを明らかにした 2021 年の Log4Shell です。同社は、PHP2Shell も同様の転換点を示す可能性があると主張しています。今回は、AI が長年知られていた弱点の実際の悪用可能性をどのように変化させるかを示しています。

フレーム化は PHP を超えて重要です。悪用が難しすぎたり、遅すぎたり、特殊すぎたりするため、安全に手の届かないところにあった理論上の脆弱性が、AI ツールを装備した豊富なリソースを備えた攻撃者の手の届くところにある可能性があります。この変化は、ソフトウェア業界全体の防衛予算、パッチの頻度、開示スケジュールに明らかな影響を及ぼします。

業界を超えて調整された修正

開示は調整されました。 Wiz氏は、発見、調整、パッチ検証におけるPHPチームとOpenAIの取り組みに感謝し、OpenAIとPHPの両方が脆弱性の歴史と開示プロセスに関する独自の技術文書を公開したことを指摘した。

Automattic、Akamai、AWS、Cloudflare、Fastly、Google、Imperva、Microsoft、Vercel を含む業界横断的なグループが、すぐにパッチを適用できない顧客向けにガイダンスとすぐに使える緩和策を用意しました。 Cloudflareは10月21日、顧客向けにPHPの脆弱性に対するWAF保護を導入したと別途発表した。

サイト所有者がすべきこと

Wiz からのアドバイスは単刀直入です。すぐにパッチを適用してください。 PHP プロジェクトは、2026 年 10 月 21 日にメモリ安全性の脆弱性に対する修正をリリースしました。サポートされているすべての PHP 展開はできるだけ早く更新される必要があります。

すぐにパッチを適用できない組織は、CDN、ホスティング、または WAF プロバイダーによって公開された緩和策を適用する必要があります。そのうちのいくつかはエクスプロイト チェーンをターゲットとしたルールを初日から出荷しました。 WordPress、Drupal、Joomla フリートの管理者は、これを優先パッチ サイクルとして扱う必要があります。Wiz は 3 つのプラットフォームすべてに対して認証前リモート コード実行を実証しましたが、その上のアプリケーションがどれほど適切に保守されているかに関係なく、脆弱なコード パスは存在します。

より深い教訓は、Wiz 自身が引き出した教訓かもしれません。AI が数か月にわたるエクスプロイト エンジニアリングを数時間に圧縮できるようになったとき、業界の「実質的に悪用可能」という実際の定義が変わり、それに伴って責任あるパッチ適用のタイムラインの意味も変わりました。

---

AIの最新情報をお届け

AIの最新ニュース、分析、ブレイクスルーを一箇所で。

AIニュースをもっと読む →