PHPエンジンに重大な脆弱性、AIの支援により70%のウェブサイトにハッキングの扉が開く

セキュリティ研究者らは、PHPプログラミング言語のエンジンに2つの重大な脆弱性が発見されたことを発表しました。調査会社Wizの報告によると、これらは世界中のウェブサイトの約70%の基礎を形成しています。この2つの脆弱性は、CVE-2026-109618およびCVE-2026-109619という識別子で監視されており、総称してPHP2Shellとして知られています。CVSS v4.0の深刻度評価では9.2を獲得しました。

Calif.ioはOpenAIのGPT-5.6 Solモデルを使用して一方の脆弱性を発見し、WizはGoogleのGemini 4 ArgonモデルおよびGPT-5.6 Solモデルと協力してWiz Atlasツールを使用し、独自に両方の脆弱性を発見しました。また、Cloudflareの報告によると、PHPのさまざまなバージョンに10年以上存在し続けたこれらコードの欠陥の発見には、Quarkslabなどの他のセキュリティ機関も関与していたことが示されています。

10年間にわたり潜在していたセキュリティ上の欠陥

問題の根源は、PHPエンジンがエラーを処理するメカニズムにあります。プログラミング要求がクラッシュするか利用可能なメモリが枯渇した場合、エンジンは以前に解放されたメモリへの参照（Use-After-Free）を残す可能性があります。同じワーカーによって処理される後続の要求は、それらの参照を有効なものとして処理する可能性があります。

研究により、攻撃者はこの動作を型混同の欠陥と組み合わせて悪用し、WordPress、Drupal、Joomlaなどの人気プラットフォーム上で、ログインを必要とせずに機密データへのアクセスやリモートからの悪意あるコードの実行が可能であることが証明されました。研究者らは、影響を受けたコードの一部はPHP 5.4のバージョンにまで遡るものであり、成功した攻撃を作成するために複数の脆弱性を組み合わせるのが難しいため、これらの欠陥は長年隠されたままであったと強調しました。AIは、わずか数日間で発見プロセスを加速させる上で決定的な役割を果たしました。

迅速な対応と修正プログラムのリリース

修正に向けた取り組みは、8月19日にWizが最初の脆弱性を発見し、その数日後にDrupal次いでWordPress上でコードを実行する能力を確認したことから始まりました。8月24日にPHPセキュリティチームに正式に通知され、Cloudflare、Google Cloud、AWS、Microsoft、Akamaiなどの大手企業を含む集中的な調整を経て、10月21日に修正版がリリースされました。

開発者やシステム管理者にとっての実質的な変更点

PHPは、開発チームやシステム管理者が直ちにサーバーをアップデートすべき安全なバージョン、すなわち PHP 8.5.12、8.4.27、8.3.36、8.2.35 をリリースしました。Linuxのディストリビューションやマネージドホスティングプロバイダーに依存している場合は、バックポーティングの適用を確認するために提供元に問い合わせることが推奨されます。

これに加えて、OpenAIはAIによって発見された脆弱性に対処するための5段階の事前対策型フレームワークを提案しました。これには、検証、モデルを通じた高度なテスト、ディストリビューターやサービスプロバイダーへのデータの段階的な配布、そして政府機関や重要インフラへの到達が含まれます。また、同社は脆弱なバージョンが存在するかどうかを確認するためにPHPのバージョンをローカルでスキャンするツールを提供するとともに、Webアプリケーションファイアウォール（WAF）などの保護ツールは一時的な防御層にすぎず、サーバー上の実際のコードのアップデートの代わりには決してならないと警告しています。