この記事の要点
- セキュリティ企業のCalifとWizが、AIを活用してPHPコアの重大な脆弱性2件を発見・報告しました。
- この2件は通称「PHP2Shell」と呼ばれ、認証なしでサーバーを乗っ取れるおそれがある危険度の高い脆弱性です。
- PHPは2026年10月21日に8.5.12など緊急パッチを公開し、未適用のサーバーは早めの対応が必要です。
PHPの開発チームは2026年10月21日、認証なしでサーバーを乗っ取れる重大な脆弱性2件への緊急パッチを公開しました。発見したのはセキュリティ企業のCalifとWizで、OpenAIも発見から修正までの経緯をまとめた発表を公開しています。
PHP2Shellとは何か――2つの重大な脆弱性の正体
PHPはWebサイトを裏側で動かすプログラミング言語です。WordPressなどのCMS(ウェブサイト管理システム)にも使われています。
今回公表されたのは、メモリ不足時の処理の不備が原因の脆弱性(CVE-2026-109618)と、前のリクエストの内部状態が解放後も残ってしまう不備が原因の脆弱性(CVE-2026-109619)の2件です。合わせて「PHP2Shell」と呼ばれ、深刻度を表すCVSS v4.0のスコアは10点満点中9.2、認証不要のリモートコード実行(攻撃者が任意の命令をサーバー上で実行できる状態)につながる「Critical」評価です。mod_php(ApacheにPHPを組み込む構成)ではアプリケーション側の処理が始まる前に攻撃が成立することも確認されており、修正版へのアップデートが唯一の完全な対策とされています。
AIが発見・検証を支援し、PHP開発者が修正を主導
きっかけはOpenAIの「Patch the Planet」という取り組みで、オープンソースソフトウェアの脆弱性をAIの力で見つけて直す活動です。この枠組みでCalifがGPT-5.6 Solを使って問題を発見し、Wizも独立して2件を発見・報告しました。修正とリリースを主導したのはPHPの開発者で、各社が調査や検証・調整を支援しています。
Wizは独自の調査で、自社のAIツール「Wiz Atlas」とGoogleのGemini 4 Argon、OpenAIのGPT-5.6 Solを組み合わせて脆弱性を特定・検証しました。8月にWordPressやDrupalでの認証なしコード実行を確認してPHPへ報告しました。
Wizの公表した経緯では、PHPは9月21日に報告を確認して修正を進め、10月21日に修正版を公開しました。PHP公式の告知も、同日の公開と対象バージョンを案内しています。
自社のPHP環境、確認しておきたいポイント
PHPを利用する場合、サイト管理者に「PHPの修正が適用済みか。公式修正版は8.2.35・8.3.36・8.4.27・8.5.12で、配布元の更新案内はどうなっているか」を確認してもらうと状況を整理できます。WordPressなどのCMSだけを最新化しても、土台のPHP自体が古いままでは影響を受け続けてしまう点が厄介なところです。すぐに更新できない場合、暫定策は運用への影響もあるため、PHP公式と配布元・ホスティング事業者の案内を確認する必要があります。公式は完全な緩和策はなく更新が必要としています。
まとめ
PHP2Shellは、AIを使った発見・検証と、開発者主導の修正・公開を組み合わせた事例です。GitHub Copilotの脆弱性修正支援と同様、AIの活用範囲と人の責任を分けて見ることが重要です。PHPを利用するサイトの運用側には、CMSの更新だけでなく、実際に稼働するPHPへ修正が反映されたかを管理者や提供事業者と確認することが判断材料になります。
※本記事は2026年10月22日時点の情報です(PHP 8.5.12等は2026年10月21日公開)。
