PHPのクリティカルなゼロデイ脆弱性が世界的な障害と緊急パッチ適用を招く

PHP内の2つのクリティカルなゼロデイ脆弱性が実際に悪用されているため、Webインフラストラクチャは本日深刻な混乱に直面しています。PHP開発チームは2026年10月21日に緊急パッチをリリースしましたが、問題の規模により、すでにヨーロッパおよびその他の地域の政府ウェブサイトがオフラインになっています。ウェブサイトの約70%がこのコアソフトウェアに依存しているため、セキュリティ専門家は、攻撃者が未パッチのサーバーの完全な制御を奪取する可能性があると警告しています。

何が起きたのか

この危機は、CVE-2026-109618およびCVE-2026-109619として追跡されている2つの特定の欠陥を中心に展開しており、これらはリモートコード実行を可能にします。つまり、攻撃者は脆弱なサーバー上で任意のコマンドを実行でき、事実上そのマシンを所有することになります。PHPプロジェクトはこれらのバグを修正するための緊急アップデートを発行しましたが、多くの組織がパッチを適用できる前に悪用の窓が開いてしまいました。ロイター通信によると、管理者が脅威を軽減したり、侵害を防ぐためにシステムをオフラインにしたりするのに奔走する中、複数の政府ポータルサイトが本日止まりました。

主要なインターネットインフラプロバイダーであるCloudflareは、開示後すぐに積極的な悪用試行を検出しました。UTC午前3時2分に、同社はこれらの特定の脆弱性を狙ったトラフィックをブロックするためにWebアプリケーションファイアウォールルールを展開しました。これらの攻撃はサービス拒否状態を引き起こし、悪意のあるコードをリモートで実行し、機密データを露呈することを目的としています。インフラプロバイダーからの対応の速さは、理論上の概念実証ではなく、すでに協調的な攻撃で使用されているこれらの欠陥がもたらす即座の危険性を浮き彫りにしています。

脆弱性の範囲は広大です。インターネット接続デバイスをマッピングする企業Censysは、PHPを実行している約258万のインターネット公開ホストと5490万のWebプロパティを特定しました。PHPはWordPress、Drupal、Joomla、Magentoなどの人気コンテンツ管理システムを支えているため、その影響は無数の独立したウェブサイトやエンタープライズアプリケーションに波及します。調査およびアウトリーチ活動に参加したOpenAIは、影響を受けるソフトウェアの圧倒的な普及率により、この状況を近年記憶にある中で最も影響の大きいセキュリティ問題の一つと表現しました。

仕組み

これらの脆弱性は新しいコードエラーではなく、何十年もの間PHPに存在してきた根深い欠陥です。Wizの研究者によると、過去10年間にリリースされたすべてのPHPバージョンが、これら2つのバグのうち少なくとも1つの影響を受けています。長期間発見されなかった理由は、悪用に必要な極度の複雑さにあります。リモートコード実行を実現するために必要な手順をチェーン化することは、以前は膨大な時間とリソースなしには人間研究者が現実的に達成できる限界を超えていました。

画期的な進展は、最先端のAIモデルの助けによって実現しました。Wizの研究者は、人工知能が悪用チェーンを見つけるための障壁を大幅に低減し、長年休眠状態だった欠陥を即時の武器に変えたことを指摘しました。この変化は、AIが脆弱性ランドスケープをどのように変えているかを示しており、攻撃者や研究者がかつて利用するには難しすぎると考えられていた複雑なバグチェーンを発見できるようになっています。一度悪用されると、考えられる結果はWebシェルのインストールです。これは、攻撃者が感染したサイトをリモートで制御するための永続的なWebベースのパネルを提供するバックドアです。

主要な詳細

• 脆弱性は、PHP 5.4以降を実行しているすべてのWebサーバーに影響します。
• 修正済みバージョンは、PHP 8.5.12、8.4.27、8.3.36、および8.2.35です。
• 約5490万のWebプロパティと258万のホストがさらされています。
• 実際の悪用はすでに野放し状態であり、CloudflareはUTC午前3時2分から攻撃をブロックしています。
• 開示とその後の混乱により、ヨーロッパの政府ウェブサイトがオフラインになっています。
• Wizの研究者は、このイベントの深刻さと到達範囲を2021年のLog4Shell危機と比較しています。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、このイベントは依存エコシステムの脆さを強調します。PHPはクラウド、ホスティングプロバイダー、コンテンツ配信ネットワークに深く組み込まれています。このようなコア層の脆弱性は単一のアプリケーションだけでなく、その下のスタック全体を侵害します。Javaのロギングフレームワークと同様に、PHPは推移的依存関係であることが多いため、Log4Shellとの比較は適切です。マネージドホスティングや更新されていない古いコンテナイメージに依存している場合、開発者は自分が脆弱なバージョンを実行していることに気づかないかもしれません。

これらの悪用の発見におけるAIの関与は、新たなセキュリティリスクの時代を示唆しています。かつてはその複雑さゆえに安全だった欠陥が、現在では実行可能な標的となっています。これは、誰も破れないと仮定して組織が往々にしてパッチを当てずに放置するレガシーシステムが、現在高優先度の標的になっていることを意味します。既存の機能を壊さずに本番環境を更新する複雑さをチームがNavigatingするため、これらの脆弱性をパッチする努力は数週間から数ヶ月続く可能性があります。PHPチームからクラウドプロバイダーまで、エコシステム全体での調整が必要であることを示しており、単一のエンティティだけで解決することはできません。

あなたができること

• サーバーのPHPバージョンを直ちに確認し、8.5.12、8.4.27、8.3.36、または8.2.35へアップグレードしてください。
• マネージドホスティングを使用している場合は、プロバイダーに連絡してパッチ適用済みイメージがいつ利用可能になるかを確認してください。
• Webアプリケーションファイアウォールのログを確認し、異常なPOSTリクエストやWebシェルのインストールの兆候がないかチェックしてください。
• Ubuntuからリリースされた新しいPHPパッケージなど、基盤となるオペレーティングシステムのパッケージを更新してください。
• 不正なファイル作成や変更の兆候がないか、カスタムPHPアプリケーションを監査してください。
• 継続的な更新情報や新たな緩和戦略については、SANS Internet Storm Centerを監視してください。