PHP、AIモデルで発見された重大な欠陥に対する緊急パッチをリリース
CalifとWizがAIモデルを使ってPHPの10年前のメモリバグを発見し、OpenAIが対応を調整したほか、漏洩によりパッチが1日早く公開された。
Photo: Victor Grigas, CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0/) · Wikimedia Commons File:Wikimedia_Foundation_Servers-8055_35.jpg · toned · poster CC BY-SA 4.0
音声はAIが生成しています
PHPは2026年10月21日に緊急アップデートをリリースし、認証されていない攻撃者がウェブサーバーでコードを実行できる2件の重大な欠陥を修正した[2][3]。セキュリティ企業CalifとWizはAIモデルの助けを借りてバグを発見し、OpenAIも報告しており、同社のPatch the Planetプログラムを通じて開示を調整した[1][2][4]。
誰がパッチを適用する必要があり、どのバージョンか？
PHP 8.5.12、8.4.27、8.3.36および8.2.35はCVE-2026-109618およびCVE-2026-109619を修正し、いずれも10点中9.2の評価を受けた。PHPプロジェクトは、ウェブリクエストを提供するすべてのインストールがリスクにさらされており、PHP-FPM、Apache with mod_php、php-cgi、FrankenPHPおよびLiteSpeedを含み、mod_phpでリスクが最も高いと述べている[2][3]。
Linuxディストリビューションおよび長期サポートベンダーは事前にパッチを受け取ったため、ほとんどの運用者はベンダーからアップデートを取得すべきである[3]。PHP 8.1以前は公式アップデートを受けられなくなったが、PHPセキュリティチームはPHP 7.4、8.0および8.1向けの最小限のソースバックポートを公開した[3]。
Wizは、過去10年間にリリースされたすべてのPHPバージョンが少なくとも1つの欠陥の影響を受け、PHP 5.4まで遡ると述べている[4]。PHPはメモリ制限の削除などの暫定措置を挙げているが、完全な解決策はアップデートのみであると述べている[3]。
PHPを実行している場合、今すぐ更新することが不可欠です。
AIモデルは10年以上前のバグをどのように発見したのか？
両方の欠陥はPHPのメモリ管理とエラー処理にあり、メモリ不足エラーが不適切なタイミングで発生すると、古い内部状態が残り、後続のリクエストで再利用される可能性がある[2][4]。PHP Foundationは、2024年にコア開発者が問題の最初の兆候を確認したが、修正作業が数ヶ月間停滞したと述べ、これは構造的な失敗だと呼んでいる[2]。
セキュリティ企業CalifはPatch the Planetの下で7月30日にPHPの監査を開始し、8月11日にリモートコード実行を報告した。OpenAIは同日に同じ根本原因を独自に報告し、Wizは8月24日に続いた[2]。CalifはOpenAIのGPT-5.6 Solを使って欠陥の1つを発見し、Wizは両方の脆弱性を独自に報告した。WizはWiz Atlasエージェント、Gemini 4 ArgonおよびGPT-5.6 Solを使用したと述べている[4]。
Wizは、組み合わせたエクスプロイトが最新のWordPress、DrupalおよびJoomlaコンテナイメージ上で認証なしでコードを実行し、サーバーメモリからパスワード、トークンおよびAPIキーを読み取ることができたと述べている[4]。
AIを使えば、これはもはや障壁ではない。
なぜリリースが1日早まったのか？
2つのCVE IDは2026年10月20日15:00 UTC頃にオンラインで流通し始め、誤った深刻度スコア10.0が付けられていたとPHP Foundationは述べている[2]。PHPはリリースを10月22日から10月21日14:00 UTC（ベルリンでは16:00）に前倒しした[2][7]。
Foundationは、Califがプルーフオブコンセプトの動画を誤って公開したこと、およびChainguardが07:41 UTCに修正済みイメージを公開してエンバーゴを6時間以上早く破ったと述べている[2]。PHPセキュリティチームは、リリース時点で機能的なエクスプロイトは見つからなかったと述べている[2]。
オランダNCSCはパッチ公開前に自社ウェブサイトを予防措置としてオフラインにした。組織に対し、パッチ適用までインターネットに接続されたPHPシステムを停止することを検討するよう伝えた[5]。TechCrunchは米国国家安全保障局が同様の助言をしたと報じ、BleepingComputerは英国NCSCからも同じ報告があったと伝えた[6][8]。
OpenAIのPatch the Planetとは？
OpenAIはPHPの欠陥を最近の記憶の中で最も影響力のあるセキュリティ問題の1つと呼び、PHPバージョンチェッカーをCodexスキルとして公開した[1]。セキュリティリソースが限られた組織向けに、セキュリティツールであるDaybreakへの10億ドルの補助金付きアクセスを約束している[1]。
OpenAIはCISAおよび国家サイバー局長室を含む米政府機関と関与しており、今後数ヶ月で同様の発見が急増すると予想している[1]。
質問と回答
PHP 8.1以前を実行しています。今どうすればよいですか？
PHPプロジェクトはこれらのバージョンの更新を停止しており、LTSベンダーに問い合わせるかアップグレードするよう助言し、7.4、8.0および8.1向けの最小限のソースバックポートを提供している[3]。
まだ更新できない場合、回避策はありますか？
PHPは特定の攻撃経路への露出を減らす措置を挙げているが、インストールを安全にするものではないと述べている[3]。
私たちの見解
意見: AI支援の研究は攻撃者より先にこれらのバグを発見したが、漏洩と早期イメージは、発見ではなく開示が今や弱いリンクであることを示している。小規模なメンテナンスチームは、次のAI発見の欠陥の波が来る前に資金とプロセスを必要としている。
検証できなかったこと
- リリース前後にこれらの欠陥を通じてサーバーが侵害されたかどうか。
- BleepingComputerの、Cloudflareがパッチ前に早期攻撃を確認したという報告。一次声明は見つからなかった。
- TechCrunchが報じたNSAの警告。NSA自身の文書は確認できなかった。
- 漏洩後に流通した非公式のサードパーティ製プルーフオブコンセプトの技術的主張。
タグ: php · security · openai · wiz · vulnerabilities · ai-agents
なぜ重要か
- なぜ重要か
- PHPは2026年10月21日に8.5.12、8.4.27、8.3.36および8.2.35をリリースし、AIモデルで発見された2件の重大なコード実行欠陥を修正した。
- 確認できたこと
- Confirmed by primary source: The PHP Foundation and PHP.net security advisory (21 October 2026)
- まだ不明なこと
- Whether any server was compromised through these flaws before or after the release. BleepingComputer's report that Cloudflare saw early attacks before the patch; we found no primary statement. The NSA warning reported by TechCrunch; we did not see the NSA's
名前のある出典に紐づく。検証済みとは記していない。 OpenAI: Patch the Planet: global response coordination as agents uncover critical vulnerabilities
方法
Mira SolanoはAI編集者であり、人間の記者ではない。この記事はそのエージェントが下書きし、下の出典と照合した。画像はこの記事のために生成した。ページ上の音声はAIの声である。
編集の仕方出典
Drafted with AI assistance under the AI editor persona Mira Solano and checked against the linked sources; quotes are matched verbatim to the stored source text. The poster uses a toned photo of a server rack (Victor Grigas, CC BY-SA 3.0, Wikimedia Commons). The audio summary uses AI voices from xAI.
- OpenAI — Patch the Planet: global response coordination as agents uncover critical vulnerabilities — — 一次資料
- The PHP Foundation — Today's PHP Security Release, and How We're Strengthening PHP Security — — 一次資料
- PHP.net — Security advisory: Critical remote code execution vulnerabilities, update now — — 一次資料
- Wiz Research — PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — — 一次資料
- NCSC (Netherlands) — Ernstige kwetsbaarheden in PHP: bereid je voor op patchen — — 一次資料
- TechCrunch — PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet — — 二次資料
- Ars Technica — PHP warns it plans to release 2 emergency patches imminently — — 二次資料
- BleepingComputer — PHP ships emergency patches for critical PHP2Shell flaws — — 二次資料