AIがPHPの重大な脆弱性を発見、開示方法を巡る議論に

2026年10月21日、PHPプロジェクトは2つの重大なセキュリティ欠陥に対する緊急修正版をリリースし、多くのウェブサイト運営者がサービスを停止せざるを得なくなりました。この事件は「PHP2Shell」と呼ばれ、リモートコード実行を可能にする脆弱性CVE-2026-109618およびCVE-2026-109619が含まれていました。技術的な修正は急務でしたが、AIがエクスプロイト開発を加速させる時代における協調的脆弱性情報開示（CVD）について、大きな論争を引き起こしました。

何が起きたか

これらの脆弱性は、ウェブサイトの約70%を支えるPHPバージョンに影響します。PHP財団はブランチ8.2.35、8.3.36、8.4.27、および8.5.12向けの修正版をリリースしました。サポート対象外の古いブランチを使用しているユーザーは、アップグレードするか、ディストリビューターによるバックポートに頼る必要があります。WordPressはサイトオーナーに対し、PHPインストールを更新するよう助言し、脆弱性はWordPressアプリケーション自体ではなく言語そのものにあることを明確にしました。

発見プロセスは、セキュリティ研究における人工知能の役割拡大を浮き彫りにしました。OpenAIの「Patch the Planet」イニシアチブに参加しているセキュリティ企業Califは、GPT-5.6 Solを使用してリモートコード実行への経路を特定し、8月11日に報告しました。OpenAIも同日に同じ問題を独自に報告し、その後Wizが8月24日に報告しました。PHPメンテナーは2024年の監査中に根本的なメモリ不足問題の兆候に気づいていましたが、これらのAI支援レポートによって深刻さが明らかになるまで、具体的な悪用ルートを持っていませんでした。

ソフトウェアサプライチェーンセキュリティ企業であるChainguardが、協調開示予定時刻の6時間以上前にパッチ適用済みコンテナイメージを公開したことで論争が勃発しました。ChainguardのCEO Dan Lorenc氏は、野外での積極的な悪用の報告と詳細情報の漏洩を受け、禁輸期間（エンバーゴ）を破ったと述べました。PHP財団はこの一方的な行動を批判し、他のユーザーが依然として脆弱なまま攻撃者に修正内容を研究する時間を与えたと主張しました。Lorenc氏は引き起こしたストレスについて謝罪しましたが、ユーザー保護が最優先事項であると主張しました。

仕組み

核心的な技術的問題は、リモートコード実行を達成するために操作できるメモリ不足状態に関わっています。この種の脆弱性により、攻撃者はPHPアプリケーションをホストするサーバー上で任意のコマンドを実行できます。OX SecurityのMoshe Siman Tov Bustan氏が指摘したように、PHPの普及率の高さゆえに、この欠陥は特に危険です。公開されているすべてのPHPインスタンスが潜在的に露出している可能性があります。

論争の中心は、協調開示のメカニズムにあります。通常、ベンダーはパッチを同時に準備するために禁輸期間で合意します。しかし、AIモデルは現在、エクスプロイトを迅速に見つけ出し検証することが可能です。ChainguardのテストハーネスはフロンティアAIモデルを使用し、独立してこの問題を再発見しました。Lorenc氏はライブエクスプロイトの可能性に関する報告を受け、概念実証（PoC）動画がオンラインで漏洩しているのを目撃した後、待機することのリスクが調整の利益を上回ると判断しました。彼は標準的な禁輸プロトコルを回避し、即時アクセスを確保するために修正版を公開しました。

主要な詳細

• 脆弱性はCVE-2026-109618およびCVE-2026-109619として識別されています。
• 修正されたPHPバージョンは8.2.35、8.3.36、8.4.27、および8.5.12です。
• Chainguardは積極的な悪用の証拠を挙げ、パッチ適用済みイメージを早期に公開しました。
• PHP財団は、2024年に特定された問題の修正遅延を「構造的な失敗」と表現しました。
• Amazon Threat Intelligenceは、10月17日からハニーポットに対するエクスプロイト試行を検出しました。
• GPT-5.6 SolなどのAIモデルが、欠陥の発見と検証において重要な役割を果たしました。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、この事件は従来のメンテナンスウィンドウでは重要なインフラストラクチャに対応できない可能性があることを強調しています。AIが脆弱性を発見し武器化する速度により、発見から悪用までの期間は縮小しています。組織は、PHPのような広く使用されている依存関係からのリスクを軽減するため、通常のスケジュール外でもパッチを即座に展開できるよう準備する必要があります。

この論争はまた、現在のオープンソースセキュリティモデルの脆さも浮き彫りにしています。PHP財団は、リソース制約と複雑なトレードオフにより、既知の問題に対する修正が遅れたことを認めました。AIがバグ発見のハードルを下げるにつれ、メンテナーへの負担が増大しています。このソフトウェアに依存する企業や政府からの追加資金とサポートなしには、同様の構造的な失敗が再発し、ウェブエコシステムがインターネット規模の脅威に対して脆弱なままとなる可能性が高いです。

対応策

• PHPインストールを直ちにバージョン8.2.35、8.3.36、8.4.27、または8.5.12に更新してください。
• サポート対象外のPHPブランチを使用している場合は、アップグレードを計画するか、ディストリビューターによるバックポートを適用してください。
• 2026年10月17日以降のサーバーログを確認し、不審な活動がないか調査してください。
• パッチ未適用のシステムで悪用の証拠が見つかった場合は、侵害があったと想定してください。
• Red HatやCanonicalなどの信頼できるサプライヤーから検証済みのパッチを提供してもらってください。
• 依存している重要なオープンソースプロジェクトに対する組織的な支援を提唱してください。