PHPの脆弱性、数百万のウェブサイトに危険

ウェブの大部分を動かしているプログラミング言語PHPの開発チームは、2026年10月21日（水）、2つの深刻なセキュリティ上の脆弱性を修正する緊急アップデートを公開しました。脆弱性はCVE-2026-109618とCVE-2026-109619として管理されており、深刻度を示すCVSSでは、いずれも10段階中9.2と評価されています。研究者たちは、これらを「php2shell」と呼んでいます。

PHPは、サーバー側の言語がわかっているウェブサイトのうち、推定70〜80%で使われており、WordPress、Drupal、Joomla、Laravelで作られたサイトも含まれます。研究者によると、攻撃者はこれらの脆弱性を利用して、ウェブサーバー上でコードを実行し、サーバーを乗っ取ることができる可能性があります。インターネットに接続された130万台以上のサーバーが影響を受けるおそれがあります。

脆弱性は、人工知能（AI）の助けを借りて見つかりました。セキュリティ企業のCalifはOpenAIのモデルを使って1つを発見し、Wizは、OpenAIとGoogle、そして自社のAIツールを使って、PHPのメモリー安全性に関するバグを複数見つけたと述べました。Wizは、AIによってこうした複雑なバグが悪用しやすくなっているとしています。

CERT-EUや英国の国家サイバーセキュリティセンターなどのセキュリティ機関は、各組織に対し、速やかにアップデートするよう、またすぐにアップデートできない場合はウェブサイトをインターネットから切り離すよう呼びかけました。報道の時点で、米国の機関CISAは、脆弱性が攻撃に使われたことは確認していないとしていましたが、一部の企業は、修正されていないサーバーを探してインターネット上をスキャンする攻撃者の動きを報告しました。

多くのサーバーが危険にさらされたままになるおそれがあります。PHPのバージョンを公開している約75万8,000台のサーバーは、すでにセキュリティアップデートが提供されていない古いバージョンを使っています。