- PHP 8.x系全体の修正版が2026年10月21日に公開、2件のRCE脆弱性に対応
- 10月20日にCVE IDが流出し誤ったCVSS 10.0が拡散、告知と公開を前倒し
- Wiz ResearchがAIツールで発見、DrupalとWordPressで未認証RCEを確認
何が公開されたのか
2026年10月21日、PHPの8.x系全体を対象とする修正版が公開されました。修正されるのは2件のリモートコード実行(RCE)脆弱性です。RCEは、外部からサーバー上で任意のコードを実行できてしまう脆弱性を指し、Webアプリケーションの基盤としては影響が大きい種類に入ります。原文によれば実際のCVSSスコアは9.2で、後述するように10.0ではありません。
Simon Willison氏は、PHP上で何かを動かしているならアップグレードが必須だと述べています。修正版の公開前から攻撃コードが出回っていた点も指摘されています。個々のアプリケーションがどこまで影響を受けるかは構成によって変わるとみられますが、原文は具体的な影響範囲までは示していません。
情報漏えいで前倒しに
PHP Foundationの説明によると、10月20日15:00 UTC頃、2件のCVE IDがオンラインフォーラムやSNSで出回り始めました。それらには誤ったリリース時刻と、誤ったCVSSスコア10.0(実際は9.2)が添えられていました。技術的な詳細そのものは漏れていなかったとされています。
これを受けてPHPプロジェクトは、事前告知を19:30 UTCに前倒しして公開しました。リリース日も10月22日14:00 UTCから10月21日14:00 UTCへ前倒しされています。さらに20:00 UTC頃、報告元のセキュリティ企業の一つであるCalifが誤って動画を公開しました。動画には複数の標的に対してPoCが動作する様子が含まれ、限定的ながら追加の詳細も明らかになりました。削除後もコピーがSNSで拡散し、PoC開発の加速につながったとされています。
発見から修正までの経緯
脆弱性を発見したWiz Researchのタイムラインも公開されています。2026年8月19日、同チームはWiz Atlas、Gemini 4 Argon、GPT-5.6 Solを用いて最初のPHP脆弱性を発見しました。8月20日にはDrupalに対する未認証RCE、8月21日にはWordPressに対する未認証RCEが確認されています。
8月24日にPHPセキュリティチームへ報告され、9月21日にPHPが報告を認識して協調修正の開発を開始しました。そして10月21日に修正版の公開とパブリックディスクロージャが同時に行われています。発見から公開まで約2カ月という流れで、発見の段階でAIツールが使われていた点が特徴的です。
現時点で分かっていないこと
原文では、2件のCVE IDの番号そのものは示されていません。対象は「PHP 8.x系全体」とだけ書かれており、どのマイナーバージョンが該当するかの内訳も明らかにされていません。Califの動画に含まれていた追加情報の具体的な内容も、「限定的な詳細」という表現にとどまっています。
また、実際に悪用された事例があったかどうかについても、原文には記載がありません。攻撃コードが流通していたという事実と、実際の侵害発生は別の問題であり、判断には追加の情報が必要です。
| 項目 | 流出した情報・当初予定 | 実際の値・対応 |
|---|---|---|
| CVSSスコア | 10.0 | 9.2 |
| リリース日時 | 2026年10月22日 14:00 UTC | 2026年10月21日 14:00 UTC |
the two CVE IDs began circulating on online forums and social media. They came with a wrong release time and a wrong CVSS score of 10.0 (the actual score is 9.2). No technical details leaked.
2件のCVE IDがオンラインフォーラムやSNSで出回り始めました。それらには誤ったリリース時刻と、誤ったCVSSスコア10.0(実際のスコアは9.2)が添えられていました。技術的な詳細は漏れていませんでした。
今後の見通し
今後は、各Linuxディストリビューションやホスティング事業者が修正版をどのタイミングで取り込むかが焦点になるとみられます。PHPそのものが更新されても、CMSやプラグイン側の対応が遅れれば影響は残るためです。また、調整済み開示の途中でCVE IDやスコアが流出した経路と、PHP Foundationが再発防止のために開示プロセスをどう変更するかが明らかになれば、今後の判断材料になります。実際の悪用状況について報告が出るかどうかも、対応の優先度を決めるうえで重要です。
日本の開発者・IT企業にとっての意味
PHPはWordPressやDrupalを含む多くのWebアプリケーションの基盤であり、日本のIT企業でも受託開発・自社サービス・社内システムのいずれでも稼働している可能性があります。今回の2件はリモートコード実行で、しかも修正版の公開前から攻撃コードが流通していたとされるため、通常の月次メンテナンスを待たずに適用を検討すべき性質のものです。特にPHP 8.xを長期間更新せずに運用している環境では、稼働中のバージョンと修正版の対応関係を早めに確認する必要があります。加えて、発見にAIツールが使われたことと、開示プロセスの途中で情報が漏れたことは、脆弱性対応のスピード感が今後さらに問われる方向を示しています。
気になる点
- WordPressやDrupalを使っていますが、何をすればよいですか
- 原文では、PHP上で何かを動かしているならアップグレードが必須とされています。10月21日に修正版のPHPが公開済みのため、まずPHP 8.xの更新を検討することになります。DrupalとWordPressについては未認証RCEが確認されたとの記載がありますが、CMS側の修正状況は原文に書かれていません。
- CVSS 9.2はどれくらい危険な水準ですか
- CVSSは脆弱性の深刻度を0〜10で表す指標です。9.2は最大値ではありませんが高い水準で、今回は2件ともリモートコード実行であり、修正版の公開前から攻撃コードが流通していたとされています。ただし、実際の被害が出たかどうかは原文に記載がありません。
- AIが脆弱性を見つけたということですか
- Wiz Researchは、Wiz Atlas、Gemini 4 Argon、GPT-5.6 Solを用いて最初のPHP脆弱性を発見したと記載されています。どのツールをどのように使ったのか、AIがどの工程を担ったのかといった詳細は原文では明らかにされていません。
用語解説
- RCE(リモートコード実行)
- 外部からサーバー上で任意のコードを実行できる脆弱性。侵入後の権限によっては広範囲な影響が及ぶ。
- CVSS
- 脆弱性の深刻度を0〜10で示す共通指標。数値が高いほど深刻とされる。
- CVE ID
- 個々の脆弱性に付与される識別子。共通脆弱性識別子とも呼ばれる。
- PoC
- Proof of Concept。脆弱性が実際に悪用可能であることを示す実証コード。
- 調整済み開示
- 修正版の準備が整うまで詳細公開を控える、ベンダーと報告者の協調的な開示手順。
出典
Today's PHP Security Release, and How We're Strengthening PHP Security
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する