2026年10月21日、世界中の無数のウェブサイトの基盤を支えるプログラミング言語であるPHPにおいて、極めて深刻な複数の脆弱性が公表された。Wiz Researchなどのセキュリティ企業によって発見されたこれらの脆弱性は、総称して「php2shell」と呼ばれている。PHPのCure Security Network（CNA）および各種セキュリティ機関によると、対象となった脆弱性はCVE-2026-109618およびCVE-2026-109619であり、共通脆弱性評価システム（CVSS v4.0）において最高値に迫る9.2という極めて高い危険度が割り当てられた。
世界中のWebサイトの70%を揺るがすPHP脆弱性の発覚と「Black October」の混乱
Wiz ResearchチームのSagi Tzadik、Shir Tamari、Nir Ohfeld、Tomer Schwartzらが明らかにしたところによると、これらの根深い欠陥は何十年もの間存在していたものの、人間の研究者が実用的な悪用手順の連鎖を証明することは、実践可能な限界に近い極めて複雑なプロセスであったという。しかし、AIツールの活用によって状況が一変した。2026年8月19日にWiz Atlas、Gemini 4 Argon、GPT-5.6 Solを用いて最初の脆弱性が発見されて以降、8月20日にはDrupal、8月21日にはWordPressに対する認証なしリモートコード実行（RCE）が次々と確認された。
欧州政府機関のサイト閉鎖と、PHPチームによる緊急パッチのリリース
情報が公になると、インターネット空間や各国のインフラストラクチャに深刻な混乱が生じた。オランダではデジタルIDログインサービスを含む政府ウェブサイトが利用不能に陥り、フィンランドは公共サービスをオフラインへ移行、Wikipediaを運営するWikimediaも一部のシステムを停止させる事態となった。Palo Alto NetworksのCortex Attack Surface Managementテレメトリによれば、脆弱性の影響を受ける可能性のあるインターネットに露出したインスタンスは、世界中で2,260万件以上に及んでいた。
事態の深刻さを受け、PHPの開発コミュニティおよび関連プロジェクトは異例の迅速な対応を見せた。Rescanaの報告では、PHPセキュリティチームが緊急リリースを行い、脆弱性を完全に修正したバージョンであるPHP 8.5.12、8.4.27、8.3.36、8.2.35を同日中に提供開始した。さらに、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）やカナダサイバーセキュリティセンターなどの規制当局は、組織に対して即座にこれら指定のバージョンへアップデートするよう強く促した。また、Cloudflare、Hostinger、Palo Alto Networksなどの主要プラットフォームやセキュリティベンダーも、自動アップデートの適用やWebアプリケーションファイアウォール（WAF）による保護ルールの展開、危険な設定の無効化手順の案内などを急ピッチで進めた。
AIツールが変えた脆弱性発覚のスピードと、いまだ残る深刻な課題
今回のインシデントは、セキュリティの専門家たちが「脆弱性の津波」と呼ぶ時代の到来を象徴するものとなった。Anthropicの副最高情報セキュリティ責任者であるJason ClintonやSalesforceのCEOであるマーク・ベニオフ、CloudflareのCEOであるマシュー・プリンスらは、AIが前例のないスピードと規模で脆弱性の発見と悪用を加速させている現実を指摘している。プリンス氏の投稿によれば、PHPの脆弱性公表前の10時間で数千件だった悪用試行は、公表後45分で数万件、2時間以内に数十万件、そして最終的に数百万件へと爆発的に跳ね上がったという。
2026年には、AIモデルの進化によって発見された脆弱性の数が記録的なペースで急増しており、ITチームや開発者にとってかつてないほどの大きな負担となっている。オープンソースのデジタル基盤を支えるボランティアや少数の開発者コミュニティへの支援不足、およびレガシーコードの蔓延が、今後のデジタル社会における大きな構造的課題として改めて浮き彫りになっている。
「この脆弱性はPHPチーム長年把握していたものの、攻撃者（少なくとも人間の攻撃者）によって利用することができなかったため、対処されなかったのです。」
Sagi Tzadik, Wizセキュリティ研究者