PHP開発者は、PHP2Shellとして知られる極めて深刻な2つの脆弱性に対処するため、緊急のセキュリティアップデートをリリースしました。これらは、攻撃者が事前認証なしで悪意のあるコードをリモートで実行（Remote Code Execution）する可能性を付与するものであり、インターネット上ではこれらを悪用しようとする実際の攻撃が記録されています。
脆弱性の詳細とPHPエンジンにおける危険箇所
脆弱性は、メモリ枯渇時のメモリ破損（Out-of-Memory Corruption）に起因するCVE-2026-109618と、古く非同期ではないグローバル状態（Stale Global State）に関するCVE-2026-109619として登録され、CVSSの深刻度評価では9.2を獲得しました。PHP財団（PHP Foundation）は、これらの脆弱性がエンジン内のほぼすべてのリクエストが通過する機微なメカニズム（メモリ管理とエラー処理）に存在しており、その影響範囲が広く、対処が非常に複雑であることを確認しました。
財団は、mod_php経由のApacheサーバー、PHP-FPM環境、php-cgi、FrankenPHP、さらにLiteSpeedを含め、ウェブのリクエストを処理するすべてのPHPサーバーが危険にさらされていると説明しています。また、問題はプロセスのプライベートメモリ空間の読み取りにも及び、APIキー、パスワード、およびキャッシュされた機微なデータが露見する可能性があります。
早期のリークと修正に先行する攻撃
脆弱性の協調公開は10月22日を予定していましたが、インターネット上での詳細および概念実証（PoC）コードの意図しないリークにより、チームは修正のスケジュールを前倒しせざるを得ませんでした。一般向けアップデートの数時間前、WatchTowr、Patchstack、Cloudflare、Hadrianなどのセキュリティ機関は、主にPHPのセッションアップロード進捗（session upload-progress）の追跡パスを標的とした、広範な悪用試みを観測しました。
解決策を伴うアップデートには、バージョン8.5.12、8.4.27、8.3.36、8.2.35が含まれており、さらにPHP 7.4、8.0、8.1といった古いバージョンのソースコードからの限定的なバックポートパッチも提供されています。不具合の根本的な原因は歴史的にPHP 5.4にまで遡るバージョンに存在しています。
発見におけるAIモデルの役割
クラウドセキュリティ企業のWizは、OpenAIおよびCalif Labsと協力し、8月にこれらの脆弱性を発見しました。メモリ枯渇に関連する最初の不具合は2020年に初めて観測され、2024年に再発見されたものの、当時はプログラミング上の悪用可能性が実証されなかったため、差し迫った危険としては分類されていませんでした。しかし、高度なAIモデルの活用により、研究者はメモリの弱点をリモートコマンド実行へと変える非常に複雑な悪用チェーンを構築することが可能になりました。
なぜこの動向が重要であり、どのような影響があるのか？
PHPは世界中のウェブサイトの約70%を稼働させており、WordPress、Drupal、MediaWiki（Wikipediaを駆動）などの主要なコンテンツ管理プラットフォームが依存しています。言語のコアエンジンに欠陥が存在するということは、インストールされているソフトウェアアプリケーションが完全に保護されていてエラーがなかったとしても、数百万のウェブサイトがハッキングの危険にさらされていることを意味します。これにより、システム管理者や運用のチームは、直ちにアップデートを適用し、サーバーのログを確認して事前ハッキングを受けていないことを保証することが義務付けられます。