AIがPHPの重大脆弱性を発見！緊急メンテ騒動の裏側と開発者が知るべきこと

AIがPHPの重大脆弱性を発見、緊急メンテの夜

2026年10月21日夜、多くのITサービスが「緊急メンテナンス」に入った騒動の裏側には、AIによるPHPの重大な脆弱性発見がありました。防御側は2026年夏に、放置すればインターネット上のWebサイトの70％を停止させかねない問題をAIで特定し、攻撃者側に一歩リードできたと期待しています。

この脆弱性は、ほとんどのWebページで使われているオープンソースのプログラミング言語「PHP」に関するものです。非営利団体であるPHP Foundationは、2件の「重大なソフトウェア脆弱性」を公表し、緊急の修正パッチを10月21日午後11時に公開しました。これらの脆弱性には「CVE-2026-109618」と「CVE-2026-109619」という識別番号が付与され、総称して「php2shell」と呼ばれています。

「php2shell」の深刻な影響と各機関の対応

PHP Foundationは、Webサイトの運営者に対し、直ちにパッチを適用するか、対応が完了するまでサイトを停止するよう強く求めています。パッチの正式公開に先立ち、脆弱性に関する報道が広がると、これに便乗した一部の攻撃者が悪用を試み、数百万のWebサイトにセキュリティ保護を提供している米CloudflareのCTOデーン・クネヒト氏によると、すでに「初期段階の攻撃」が確認され始めています。

イリノイ大学アーバナ・シャンペーン校グレインジャー工学部でコンピュータサイエンスを専門とするギャング・ワン准教授は、「PHPの脆弱性が及ぼす影響は甚大であり、適切な時期にパッチを適用できなければ、数多くのWebサイトが直ちに攻撃を受ける危険にさらされる」と述べています。このバグを悪用すると、攻撃者はパッチ未適用の脆弱なPHPシステム上で、遠隔から任意のコードを実行できる可能性があります。

この事態を受け、オランダやフィンランドの複数の政府機関が安全上の予防措置としてWebサイトをオフラインにすることを決定しました。また、米連邦捜査局（FBI）のサイバー部門と米国家安全保障局（NSA）は、影響を受ける可能性のある組織に対し、システム更新を促す声明を発表。日本の高市早苗首相、欧州連合（EU）のコンピュータ緊急対応チーム、その他複数の国の機関も同様の注意喚起を行っています。

開発者が今すべきこと

PHPはMicrosoftやWikipediaなど、多くの企業が利用している基盤技術です。今回の脆弱性は、Webサイトの運営者にとって極めて深刻な問題であり、迅速な対応が求められます。Webサイトの運営者は、PHP Foundationが公開した修正パッチを直ちに適用するか、対応が完了するまでサイトを停止することが強く推奨されています。

サイバーセキュリティ企業の米Cloudflareのデーン・クネヒト氏（CTO）は、すでに「初期段階の攻撃」を確認していると報告しており、侵害に成功した事例は現時点ではまだ限られているものの、状況は流動的です。開発者やWeb制作者は、この「php2shell」の脆弱性について深く理解し、自身の管理するシステムへの影響を評価し、速やかに適切な対策を講じることが不可欠です。