OpenAIが主導しAIによって発見：PHPの深刻な脆弱性「PHP2Shell」、サイト運営者は今すぐ更新を

人工知能

はじめに

　2026年10月21日、PHPの開発チームが、深刻な脆弱性2件を直した修正版を公開しました。報道では、この2件はまとめて「PHP2Shell」と呼ばれています。同じ日にOpenAIは、同社が主導した取り組みの中で、AIがこの脆弱性の一つを見つけたことを発表しました。
WordPressなどでサイトを運営している方は、今すぐ自分のサイトで使われているPHPのバージョンを確かめ、修正版に更新してください。

1. OpenAIのAIがPHPの深刻な脆弱性を見つけた

　OpenAIによると、この2か月、同社はPHPのメンテナー（開発・管理を担う人たち）、研究者、セキュリティ企業の連合を率いて、PHPの深刻な脆弱性に対応してきました。

OpenAIの説明では、Califという組織が、OpenAIの取り組み「Patch the Planet」の一環として、「GPT-5.6 Sol」を使って深刻な欠陥を見つけました。また、セキュリティ企業のWizも、2件の脆弱性をいずれも独自に見つけて報告しています。修正と公開はPHPのメンテナーが主導し、OpenAIやWiz、Cloudflareなどが、研究や技術支援、調整で支えたとされています。

OpenAIは「私たちの知る限り、攻撃者より先に最先端のAIがこれらの脆弱性を見つけた」と述べ、これによって、守る側が公開前に修正や防御を準備できる時間（OpenAIは「Defender’s Window」と呼んでいます）が生まれたと説明しています。また、深刻さとPHPの広い利用から、「最近で最も影響の大きいセキュリティ問題の一つ」と考えているとしています。

OpenAIは対応について「確認と修正」「影響を受ける組織に備える時間を与える」「政府機関との連携（米国のONCDやCISAなど）」「各製品の更新準備」「公開と導入の支援」の5段階で進める枠組みを提案しています。

2. どんな脆弱性か

　今回の脆弱性は、CVE-2026-109618とCVE-2026-109619の2件です（CVEは脆弱性ごとにつけられる世界共通の番号です）。CERT-EUによると、深刻さを示す点数（CVSS）は10点満点で9.2とされています。PHP公式によると、悪用されると、ログインしていない第三者がサーバー上でプログラムを実行できるおそれがあります（「リモートコード実行」と呼ばれます）。

PHPは広く普及しているプログラミング言語です。Web技術の利用状況を調査するW3Techsによると、2026年10月時点で、サーバー側の使用言語が判明しているWebサイトの約7割でPHPが利用されています。WordPress、Joomla、Drupalといったサイト作成ツール（CMS）にも使われています。また報道によると、Cloudflareは修正版の公開前から初期の攻撃を確認していたとされ、英国の国家サイバーセキュリティセンター（NCSC）も速やかな更新を求めており、更新や暫定的な対策ができない場合には、修正までシステムをオフラインにすることも検討するよう勧告しています。

仕組み（やさしく）： Webサイトを表示するとき、ブラウザーはサーバーにリクエスト（処理のお願い）を送ります。PHPはそのリクエストに応じて、ページの表示などに必要な処理を行います。

今回見つかった2件の脆弱性は、いずれもPHP内部のメモリ管理に関係しています。1件はメモリ不足が発生した際に不正なデータが使われる問題、もう1件は、すでに解放されたメモリの情報が残り、後のリクエストで使われる問題です。

攻撃者はこうした欠陥を悪用することで、ログインせずにサーバー上で不正なプログラムを実行できるおそれがあります。

報道によると、2件とも原因は共通で、リクエストの処理が途中で異常に終わると、PHPが使っていたメモリ（作業用の記憶領域）が壊れた状態のまま残ってしまうことです。攻撃者はこの「壊れた状態」を悪用します。

対象になる環境： PHP公式によると、WebのリクエストをPHPで処理しているすべての環境が対象です。具体的には、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙げられています。

PHP公式は、このうちmod_phpの危険性が最も高いと考えている、と述べています。どの仕組みを使っているか分からなくても、WordPressなどPHPで動くサイトを運営しているなら、対象になりうると考えて確認を進めましょう。

3. AIとセキュリティのこれから

　OpenAIは、今回の件はAIがインターネット規模の影響を持つ欠陥を見つけられることを示した一方で、同じ能力は攻撃者が攻撃の道具を素早く作ることにも使われ得ると述べています。

また、OpenAIによると、今回の脆弱性はすでに見つけて修正に取り組んでいる重要な脆弱性の一部であり、今後数か月で同じような発見が急増すると見込んでいます。さらに、重要なサービスを守る人たちに、OpenAIのサービス『Daybreak』を割安で使えるようにする、10億ドル規模の支援を表明しています。

4. サイト運営者が今すぐやること

PHP公式が案内している修正版は、次の4つです。

  • PHP 8.5.12

  • PHP 8.4.27

  • PHP 8.3.36

  • PHP 8.2.35

　更新の前には、念のためサイトのバックアップを取っておきましょう。
PHP 8.1以前は、PHPの開発チームからの更新がすでに終わっています。一部のLinuxの配布元や長期サポートを行う会社（ベンダー）が修正を提供している場合があるので、そこに確認するか、サポートが続いている新しいバージョンへ移ってください。

なお、今回の脆弱性については、PHP公式がPHP 7.4、8.0、8.1向けの修正ソースコードも例外的に公開しています。ただし、これらのバージョンの通常サポートが再開されたわけではありません。また、PHP 8.2も2026年末にサポートが終了する予定のため、長期的には新しいバージョンへの移行が推奨されます。

レンタルサーバーを使っている方は、次の順で確認しましょう。

  1. サーバー会社の管理画面で、自分のサイトが使っているPHPのバージョンを確かめる。

  2. サーバー会社からのお知らせ（メールや公式サイトの障害・メンテナンス情報）で、今回の脆弱性への対応状況を確かめる。

  3. 上の修正版より古い場合や、対応がはっきりしない場合は、サーバー会社のサポートに問い合わせる。

　PHP公式によると、Linuxの配布元や長期サポートのベンダーには事前に修正が渡されているため、自分でサーバーを管理している方は、使っている配布元の更新パッケージを確認してください。サイト制作を外部に頼んでいる方は、制作会社や管理会社に今回の件を伝えて対応を相談しましょう。

OpenAIは、PHPのバージョンを確かめるツールを公開し、Codex向けのスキルも出す予定としています。また、OpenAIの「Patch the Planet」のサイトでは、PHP公式の更新手順や、応急処置、専門家に頼むべきとき、バックアップと復旧などの案内をまとめているとのことです。

すぐ更新できないとき： PHP公式は、攻撃の一部の経路を減らす応急処置を紹介しています。たとえば、session.upload_progress.enabled=0 という設定にすることや、post_max_size（一度に送れるデータの上限）を小さくすることなどです。

ただし、PHP公式は、これらはサイトを安全にするものではなく、完全な解決策は更新だけだとはっきり述べています。設定の変更は専門的な作業なので、必要な場合は管理者やサーバー会社に相談し、あくまで更新までのつなぎと考えてください。PHP 8.1以前を使っている方は、配布元が出した修正を当てるか、新しいバージョンに移ることが対策になります。

5. 私からひとこと

　私もWordPressで自分のウェブサイトを運営している一人として、今回のニュースは他人事ではありませんでした。ホームページは一時閉鎖しサーバーのメンテナンスが終わり再開するまで待つことになります。専門家でなくても、管理画面でPHPのバージョンを見ることや、サーバー会社のお知らせを確かめることならできます。

攻撃者より先にAIが脆弱性を見つけたというニュースには、心強さと同時に、これからは更新の大切さがますます増すのだろうという気持ちも感じました。私もこの記事を見て、まず自分のサイトで使われているPHPのバージョンを確かめることにしました。普段はあまり意識していない部分ですが、管理画面やサーバー会社のお知らせを見れば、自分でも確認できます。同じようにWordPressでサイトを運営している方も、この機会に一度確かめてみてください。

難しい設定をいきなり触る必要はありません。まずは「バージョンを確かめる」ところから、一緒に対策していきましょう。

出典

タイトルとURLをコピーしました