AIがWebの70%に影響する深刻なPHPの脆弱性を発見

2026年10月21日、PHP開発チームはコア言語エンジンにおける重大な脆弱性への緊急パッチをリリースしました。Wiz Researchは高度な人工知能を使用してこれらの欠陥を発見し、過去10年間にリリースされたほぼすべてのPHPバージョンがリモートコード実行や機密データの窃取に対して脆弱であることを明らかにしました。この発見は、WordPress、Drupal、Wikipediaなどの主要プラットフォームを含む、世界中の全Webサイトの約70%に影響を与えています。

何が起きたか

Wiz Researchは、その上で動作する特定のアプリケーションとは無関係に、PHPコア自体の中に複数の深刻なメモリセーフティの問題を特定しました。CVE-2026-109618およびCVE-2026-109619として追跡されているこれらの脆弱性は、認証されていない攻撃者が影響を受けるサーバー上で任意のコードを実行したり、パスワード、APIキー、認証トークンを含むプロセスメモリを読み取ったりすることを可能にします。これらのバグは、リクエスト処理中にPHPが致命的エラー、特にメモリ不足（out-of-memory）の状態をどのように扱うかに起因しています。リクエストが予期せず失敗すると、内部状態が破損し、後続のリクエストで誤って再利用される可能性のあるダングリングポインターが残ります。

この発見は、脆弱性研究における重要な転換点を示しています。欠陥のあるコードは10年以上存在していましたが、その悪用可能性を実証するには、異なるPHPバージョンや設定間で複雑なメモリ破損プリミティブをチェーン化する必要がありました。従来、このレベルの分析にはエリートセキュリティ研究者からなる大規模チームによる数ヶ月間の努力が必要でした。しかし今回、最先端のAIモデルにより、単一の研究者がわずか1週間で動作するエクスプロイトを開発することができました。調整された開示プロセスには、公開前に緩和策が準備されていることを確認するため、PHPチーム、OpenAI、Calif、および主要なクラウドプロバイダーとの協力も含まれていました。

仕組み

これらの脆弱性は、エラー処理中の競合状態（race conditions）と状態管理エラーによって生じます。あるバグはセッションアップロード進捗ハンドラーに関係しています。セッションデータのデコード中にメモリ不足エラーが発生した場合、リクエストヒープが破棄された後もグローバルなアンシリアライザー状態が公開されたままになります。同じワーカープロセスによって処理される後のリクエストが解放されたメモリを回収し、PHPが攻撃者制御のデータを有効な内部帳簿データとして扱うように欺くことができます。このuse-after-freeプリミティブはメモリ破損を許容し、情報漏洩と組み合わさることでリモートコード実行に至ります。

別のベクトルは、致命的エラーバックトレースメカニズムに関与しています。PHPは最後の致命的エラーのバックトレースをグローバル変数に保持します。致命的なメモリ不足エラーがリクエストヒープを破棄し、このグローバルポインターをクリアしない場合、ワーカーはダングリング参照を持ったまま生存します。次のリクエストが診断出力をトリガーすると、PHPはこの古いポインターにアクセスしますが、これは現在、攻撃者が回収したメモリを指しています。このリクエスト間でのuse-after-freeは、制御されたメモリ破損を可能にします。さらに、OPcache共有メモリにおける型混淆（type confusion）により、攻撃者は異なるワーカープロセス間で共有状態を破損させることができ、WordPressなどのプラットフォームでの悪用をさらに容易にします。

主要な詳細

• 範囲: PHP 5.4以降のバージョンに影響し、全Webサイトの約70%に影響を与えます。
• 深刻度: CVSSスコア9.2。認証なしでのリモートコード実行とメモリ開示を許容します。
• 発見方法: 最先端AIモデル（Gemini 4 Argon、GPT-5.6 Sol）により、エクスプロイト開発時間が数ヶ月から数週間に短縮されました。
• 影響: アプリケーションレベルの欠陥を必要とせずに、WordPress、Drupal、Joomlaでの悪用を実証しました。
• パッチ日付: PHPチームによる公式修正は2026年10月21日にリリースされました。
• 協力: AWS、Cloudflare、Google、Microsoftなどとの協調により、広範な緩和策を実施しました。

なぜ重要なのか

ソフトウェアエンジニアやインフラストラクチャーリーダーにとって、この事件はレガシーコードベースが従来の監査ではしばしば見逃される深いシステム的なリスクを抱えていることを強調しています。これらのバグが検出されずに10年間存在していたという事実は、他の多くの基盤ライブラリにも同様の潜在的な脆弱性が含まれている可能性を示唆しています。重要なWebインフラストラクチャーにおいてPHPに依存しているため、基礎となるランタイム環境の欠陥に対しては、安全なアプリケーションコードでも防御できません。チームは、証明されるまで依存関係が脆弱であると仮定し、迅速なパッチ適用サイクルを優先する必要があります。

この発見におけるAIの役割は、脅威の状況を永久的に変えます。複雑さはもはや信頼できる防御メカニズムではありません。もしAIが数日で obscure なメモリバグを動作するエクスプロイトにチェーン化できるなら、攻撃者もすぐに同じ能力を持つことになります。これは、複雑さを隠す側から、検出と修復をスケールで自動化できる側に優位性を移します。これらの深いエンジンレベルの欠陥を特定するには手動のコードレビューだけでは不十分なため、セキュリティ戦略はAI支援の脆弱性スキャンやランタイム保護を含めるよう進化しなければなりません。

あなたができること

• 2026年10月21日にリリースされた最新の修正版にPHPインストールを直ちに更新してください。
• 即時のパッチ適用が不可能な場合は、異常なマルチパートリクエストをブロックし、HTTP 500エラーを監視するためにWebアプリケーションファイアウォールルールを展開してください。
• 予期しないPHPワーカーのチャーンや不正なセッションクッキーなど、悪用の兆候についてサーバーログを確認してください。
• メモリ破損挙動を検出できるランタイムアプリケーション自己保護（RASP）または同様のツールを有効にしてください。
• コンテナ化された環境を含め、影響を受けるPHPバージョンを実行しているすべてのサービスを特定するために依存関係チェーンを監査してください。
• これらの脆弱性をトリガーする可能性のあるメモリ不足条件を検出するために、厳格なメモリ制限と監視を実装してください。