PHPに重大な脆弱性2件、深刻度9.2 約20年分の全版に影響しサイト停止相次ぐ

何が発表されたのか

PHPの開発者は、PHPに存在する2件の重大な脆弱性に対する修正パッチを公開しました。脆弱性はCVE-2026-109618とCVE-2026-109619として識別され、深刻度は10段階中9.2とされています。セキュリティ企業watchTowrによれば、いずれもリモートコード実行（RCE）に分類される問題で、PHP 5以降のすべてのバージョンに影響します。パッチは米国東部時間の午前10時にリリースされ、利用者には「リリースされ次第すぐアップグレードする」よう呼びかけられています。

影響が広いのは、PHPが約20年前から同じ作りで使われ続けてきたためです。修正が必要なのは現在サポートされている版にとどまらず、すでにサポートが終了した古い版にも同じ問題が残ります。PHP開発者が火曜に公開した勧告では深刻度9.2が示され、一部のサイバーセキュリティ機関は、直ちに修正を適用できない場合にはシステムを一時的にオフラインにするよう促しました。

影響はサイト停止に波及

PHPはWordPress、Wikipedia、Drupalなどで使われており、ある集計ではウェブサイトの最大70%が何らかの形でPHPを利用しているとされます。脆弱性の公表後、4chanやDeviantArt、Wikipediaが一時的に停止し、Internet Archiveも短時間オフラインを余儀なくされました。オランダとフィンランドの政府機関が予防的にサイトを停止したほか、Kotakuの報道によればPokémon HomeとPokémon Championsも停止しています。

米NSAのサイバーセキュリティアカウントと英国家サイバーセキュリティセンター（NCSC）は、即時の更新が難しい場合にシステムをオフラインにするよう勧告しました。より重いのは、更新できないまま恒久的にサービスを終える事例が出ていることです。10年以上運営されてきた日本のモバイルゲーム「World Quest」と「Save My Demonic World」は、古い技術で作られているためパッチを適用できず、終了すると報じられています。Internet ArchiveのBrewster Kahleは、対応にあたった各組織の運用チームに感謝を述べました。

AIが悪用の難易度を変えた

この脆弱性は新しいものではなく、約20年間PHPに存在していました。セキュリティ企業Wizによれば、悪用には「人間の研究者が実際に達成できる限界に近い、極めて複雑な手順の連鎖」が必要でした。ところが高性能なAIモデルによって、そうした難解なバグを危険な脆弱性へと変える作業がはるかに容易になったとされています。

OpenAIは、同社のモデル「GPT-5.6 Sol」を使い、セキュリティ研究者が攻撃者より先にPHPの脆弱性を特定したと述べています。あわせて、利用中のPHPが脆弱なバージョンかどうかを確認できるツールも公開しました。GoogleのWizセキュリティチームの共同創設者Ami LuttwakはWall Street Journalに対し、「これまでに見つかったAI脆弱性の中で最も深刻」と語ったと報じられています。

現時点で分かっていないこと

実際に攻撃が成立したかどうかについて、現時点で明確な報告はありません。PHP FoundationのエグゼクティブディレクターであるElizabeth Barron氏はThe Vergeに対し、「我々の知る限り、リモートコード実行の成功事例はない」と述べる一方、影響を受けるシステムの更新は「不可欠」だと強調しています。

ただし攻撃の試行はパッチ公開前から確認されていました。Amazon Threat Intelligenceの報告によれば、Amazonのセキュリティチームは10月17日、ハッカーを誘引する目的の監視システム上でPHP2Shellの悪用試行を検知しました。CloudflareのCEO Matthew Prince氏は、公表前の10時間で数千回、公表後2時間で「数十万回」、前夜までに「数百万回」の攻撃をネットワーク上で観測したと述べています。個々の被害組織の数や、更新が間に合わなかったサイトが今後どうなるかは明らかになっていません。