PHPの開発者は10月21日、言語のコアエンジンにある二つの重大なセキュリティ上の脆弱性に対する緊急パッチを公開した。「PHP2Shell」と名付けられ、CVE-2026-109618とCVE-2026-109619の番号が付いたこの脆弱性は、AIツールの助けを借りて発見された。
何が起きたのか
Fortuneによると、AIセキュリティテスト企業Califが8月1日にGPT-5.6 Solを使って連鎖の最初の部分を見つけた。一方Wizは最初の脆弱性を8月19日に独立して発見し、8月24日にPHPのセキュリティチームへ報告した。発見には、Wiz自社のツールWiz Atlasに加え、OpenAIのGPT-5.6 SolとGoogleのGemini 4 Argonが使われた。
この脆弱性により、攻撃者はログインなしでサーバー上でリモートからコードを実行し、メモリ上のデータを流出させることができる。Wizによれば、過去10年に出たほぼすべてのPHPバージョンが、5.4まで遡って影響を受ける。最高の深刻度スコアはCVSS尺度で9.2だ。PHPは世界のウェブサイトのおよそ70%の裏側で動いており、WordPressだけでもサイトの約40%を担っている。Fortuneの更新記事によると、パッチの公開後、この脆弱性は広範囲で悪用され始めた。
なぜ重要なのか
セキュリティ研究でAIが単なる補助役ではなく、発見する側になりうることを示す最も具体的な例の一つだ。しかし同じツールは攻撃者の手にもあり、パッチの公開から悪用が始まるまでの時間は縮んでいる。PHPを使うサイトの運営者は、直ちにサーバーを更新する必要がある。より大きな視点では、インターネットで何十年も動いてきた古いコードに潜むバグが、これまでよりずっと速く表に出てくるかもしれない。ネットワーク上を自分で動き回った最初のプログラムの話は、Creeperの記事で紹介した。