PHPが2つの重大な脆弱性を修正：リモートコード実行のリスクに対処する緊急アップデート
PHP開発チームは、「重大」と分類された2つの脆弱性に対処するため、緊急セキュリティアップデートをリリースしました。これらの脆弱性は、深刻度スコアで10段階中9.2と評価されています。これらの脆弱性を悪用されると、攻撃者は認証なしで悪意のあるコードをリモートで実行でき、影響を受けるサーバーを完全に制御される恐れがあります。
脆弱性の詳細と影響を受けるバージョン
これらの脆弱性は、特にApacheサーバー内でmod_php設定を使用しているサーバーに影響を及ぼします。これらのリスクに対処するアップデートには、8.5.12、8.4.27、8.3.36、および8.2.35の各PHPバージョンが含まれています。開発チームは、すべてのシステム管理者に直ちにサーバーをアップデートするよう強く推奨しています。
また、PHP 8.1以前のバージョンは公式サポートが終了しており、ユーザーはリスクにさらされていると警告されています。そのため、サポートされているバージョンへ移行するか、ソフトウェアプロバイダーからセキュリティパッチを入手することが推奨されます。
発見におけるAIの役割
サイバーセキュリティを専門とするWiz Researchは、PHPのソースコードにおけるこれらの複雑な脆弱性の発見が、高度なAIモデル、具体的にはGemini 4 ArgonとGPT-5.6 Solの支援によって行われたことを明らかにしました。特にGemini 4 Argonは、コードの分析とセキュリティパッチの検証において中心的な役割を果たしており、オープンソースソフトウェアのインフラストラクチャのセキュリティ強化におけるAIの重要性が浮き彫りになりました。
なぜ対応が遅れたのか
PHP開発チームは、2024年に最初の兆候が確認されていた脆弱性の1つについて、対応が遅れた「構造的な失敗」があったことを認めました。チームは、リソースの不足と技術的な対立が当時、解決を妨げていたと説明しています。しかし、OpenAIの「Patch the Planet」プログラムの一環として8月と9月に行われたセキュリティレビューが、脆弱性の悪用方法に関する具体的な証拠を提供したことで、ソーシャルメディア上で脆弱性に関する情報が流出した後、チームは修正のペースを加速させました。