- PHPコアに認証不要のRCEとメモリ開示、CVSSは最大9.2
- PHP 5.4以降の過去10年分が影響、2026年10月21日に修正パッチ
- 10年以上前から存在した欠陥の悪用を、AIが現実的なものにした
PHPコアに最大CVSS 9.2の脆弱性
Wiz Researchは、PHPのコア部分に複数の重大な脆弱性を発見したと公表しました。PHPは世界のWebサイトの70%を動かすとされる汎用スクリプト言語です。悪用されると、攻撃者はサーバの制御を夺い、機密データを窃取し、稼働するサイトを改ざんできるとされています。PHPチームは2026年10月21日に修正パッチをリリースしました。
脆弱性にはメモリ開示と、認証を必要としないリモートコード実行が含まれます。アプリケーションの上で動くソフトウェアではなく、PHP自体に存在する点が特徴です。過去10年にリリースされたほぼすべてのバージョンが少なくとも1つに該当し、古いものではPHP 5.4までさかのぼります。2つのCVEにまとめられ、深刻度はCVSSで最大9.2に達するとされています。
影響は特定のCMSに限定されません。Wiz Researchはテスト時点の最新コンテナイメージを使い、WordPress、Drupal、Joomlaで認証なしのコード実行を実証しました。ただしこれらは代表例だと位置づけています。脆弱なバージョンのPHPで動く「Hello World」程度のアプリでも影響を受けると説明されています。
原因は致命的エラー処理の設計
開示された脆弱性はいずれもメモリ安全性の問題です。リクエスト処理中、とくにメモリ不足エラーなどの致命的エラーが起きた際のPHPの扱いに起因します。エラーでリクエストが異常終了した後も内部状態が壊れたまま残り、後続のリクエストやワーカーがその古い状態を再利用してしまう仕組みです。結果としてメモリの開示や破壊が起きます。
原文では具体的なバグとして、アップロード進捗のunserializerにおけるuse-after-free、致命的エラー時のバックトレースにおけるuse-after-free、OPcacheの型混同が挙げられています。Wiz Researchはこうしたパターンの悪用可能な事例を4件に絞って解説しています。ただし同様の変種には追跡中のものも未追跡のものもあり、要件や影響は異なるとしています。
AIが悪用の難易度を下げた
これらの欠陥は10年以上前からコードベースに存在していました。しかし悪用可能だと示すには、複数のバグをつなぎ、各環境のメモリ配置に合わせて調整する必要があり、人間の研究者が現実的に到達できる限界に近い作業だったとされています。Wiz Researchは研究中にWiz Atlas、Gemini 4 Argon、GPT-5.6 Solを使用しました。とくにGemini 4 Argonが脆弱性の発見、エクスプロイト開発、攻撃検知、パッチ検証に大きく貢献したとしています。
LLMは、異なるPHPバージョンや設定、メモリ配置にエクスプロイトを適応させる作業を支援できます。テストとデバッグのツールと組み合わせれば、失敗を分析して調整を繰り返せます。その結果、かつて非現実的とされた脆弱性が現実的な攻撃対象になり得ます。原文は、2014年のHeartbleedや2021年のLog4Shellに並ぶ転換点になり得るとの見方を示しています。
アプリのログでは捉えにくい
問題はアプリケーション層より下で起きるため、アプリのログには手がかりがほとんど残らない可能性があります。Wiz Researchは、パッチを適用するまでの間は防御側がとくに注意を払うべきだとしています。すぐに更新できない組織向けに、Automattic、Akamai、AWS、Cloudflare、Fastly、Google、Imperva、Microsoft、Vercelなどがガイダンスやすぐに使える緩和策を用意したとされています。
現時点で原文に記載がないのは、個別のCVE番号、実環境での悪用が確認されたかどうか、各緩和策の具体的な内容です。変種が残る可能性も否定されていません。PHPチームのパッチが根本原因に対処し、修正版では変種も排除されると説明されている点が、対応を判断する材料になります。
| 項目 | プロセスメモリの開示 | 認証不要のリモートコード実行 |
|---|---|---|
| 認証 | 不要 | 不要 |
| 攻撃で得られるもの | パスワード、認証トークン、APIキー、証明書 | サーバの制御、データ窃取、サイト改ざん |
| 実証された対象 | PHPワーカーのメモリ | WordPress、Drupal、Joomlaの最新コンテナイメージ |
| 成立の前提 | 脆弱なバージョンのPHP | 同左。アプリ側コードの安全性は関係しない |
For over a decade, these critical vulnerabilities remained unaddressed because vulnerability discovery and exploitation were incredibly complex.
10年以上にわたり、これらの重大な脆弱性は未対処のままでした。脆弱性の発見と悪用が極めて複雑だったからです。
今後の見通し
今後は、ホスティング事業者やCDN各社が用意した緩和策がどこまで行き渡るかと、PHPのパッチ適用率が焦点になります。エクスプロイトの詳細が公開されれば、攻撃コードの再利用が進む可能性があります。AIを使った発見・悪用の手法が他のOSSにも広がるかどうかは、この事例だけでは判断できません。Wiz Researchが言及した未追跡の変種の有無、実環境での悪用報告、主要CMSが同梱するPHPの更新状況が明らかになれば、影響の大きさをより正確に評価できるとみられます。
日本の開発者・IT企業にとっての意味
WordPress、Drupal、Joomlaは国内の企業サイトやECサイトでも広く使われており、PHPのバージョンはホスティング側が握っていることが多いのが実情です。アプリのコードが安全でも、PHP本体が古ければ影響を受けるため、自社サイトのPHPバージョンと更新責任の所在を確認する必要があります。コンテナイメージを固定タグで運用している場合、wordpress:latestのような最新イメージでも検証時点で影響があった点は注意点になります。さらに、AIがエクスプロイト開発のコストを下げるのであれば、これまで「複雑すぎて実害はない」と判断していた脆弱性の優先度付けを見直す必要が出てきます。パッチ適用のSLAと、WAFなどによる緩和策の準備状況をあわせて点検しておきたいところです。
気になる点
- 自社のWordPressサイトは何をすればよいですか
- まず稼働中のPHPバージョンを確認し、PHPチームが2026年10月21日に公開した修正パッチを適用してください。Wiz Researchは即時の適用を強く勧めています。すぐに適用できない場合は、Cloudflare、AWS、Akamai、Fastly、Imperva、Microsoft、Vercelなどが用意した緩和策や検知のガイダンスを確認するのが現実的です。
- どのPHPバージョンまで影響しますか
- 過去10年にリリースされたほぼすべてのバージョンが、少なくとも1つの脆弱性の影響を受けるとされています。古いものではPHP 5.4までさかのぼります。PHP 5.4より前のバージョンについては原文に記載がなく、影響の有無は判断できません。修正パッチは2026年10月21日にリリースされています。
- AIは具体的にどう使われたのですか
- Wiz ResearchはWiz Atlas、Gemini 4 Argon、GPT-5.6 Solを研究に使用しました。とくにGemini 4 Argonが脆弱性の発見、エクスプロイト開発、攻撃検知、パッチ検証に貢献したとしています。複数のバグをつなぎ、異なるPHPバージョンや設定に合わせてエクスプロイトを調整する作業をAIが支援した、というのが原文の説明です。
用語解説
- リモートコード実行(RCE)
- 遠隔からサーバ上で任意のコードを実行させる攻撃。認証なしで成立すると影響が特に大きい。
- use-after-free
- 解放済みのメモリ領域を再び使ってしまう不具合。攻撃者に制御されたデータで置き換えられるとメモリ破壊につながる。
- OPcache
- PHPのスクリプトをコンパイル済みの状態でキャッシュし、実行を高速化する仕組み。
- 型混同(type confusion)
- ある型として扱うべきデータを、別の型として解釈してしまう不具合。
- CVSS
- 脆弱性の深刻度を0〜10で表す共通指標。9.2は緊急対応が必要とされる水準。
- コーディネーテッドディスクロージャー
- 修正が完了する前に詳細を公表せず、開発元と調整して開示する慣行。
出典
PHP2Shell: AI uncovers critical RCE in PHP
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する