2026年10月21日、プログラミング言語「PHP」における深刻な2件の遠隔コード実行の脆弱性が公表され、世界中の政府機関、クラウド事業者、ウェブサイト運営者は、緊急パッチの適用を急ぐとともに、影響を受けるシステムを一時的にオフラインにするなどの対応に追われた。
この問題は共通脆弱性評価システムにおいて9.2の深刻度と評価され、CVE-2026-109618およびCVE-2026-109619として追跡されている。「php2shell」とも呼ばれるこれらの重大な不具合により、認証されていない第三者が遠隔から任意のコードを実行することが可能となり、過去10年間にリリースされたすべてのPHPバージョンが影響を受ける。
人工知能による脆弱性の発見と公開の経緯
Califの調査チームも、OpenAIのGPT-5.6 Solモデルを用いてPHPのコードを監査し、脆弱性を特定した。また、Wiz ResearchチームはWiz AtlasセキュリティAIエージェント、GoogleのGemini 4 Argon、およびGPT-5.6 Solを組み合わせて同様の不具合を発見した。
Wiz Research
成功裏に悪用されれば、攻撃者が影響を受けたサーバーを乗っ取り、機密データを窃取し、稼働しているウェブサイトを改ざんする恐れがある。
世界各国の政府機関と主要プラットフォームによる対応
| 組織・機関 | 発表された対応および勧告 |
|---|---|
| アメリカ国家安全保障局（NSA） | 即時パッチ適用、困難な場合はオフライン化の推奨 |
| イギリス国家サイバーセキュリティセンター（NCSC） | 即時アップデートの推奨 |
| 日本国政府（高市早苗） | 迅速な修正パッチの適用要請、困難な場合のウェブサイト一時停止の検討 |
| 欧州連合（CERT-EU） | インターネットに公開されたシステムの即時優先対応とアップデート勧告 |
日本では、高市早苗が緊急の対応要請を発信し、修正パッチの迅速な適用が難しい場合にはウェブサイトの一時的な休止も有効なリスク軽減策になり得ると表明した。フランス、日本の政府関連サイトや、ヨーロッパ各地の政府、学校、病院のウェブサイトが予防措置として一時的にアクセス不能となった。
修正プログラムの適用と今後のリスク管理
PHP Foundationは、今回発見された2件の脆弱性を修正したバージョンとして、PHP 8.5.12、8.4.27、8.3.36、および8.2.35をリリースした。開発チームは、PHPを実行している場合は今すぐアップデートすることが不可欠であると強く呼びかけている。
一方、PHP 8.1およびそれ以前のバージョンはすでにサポートが終了しており、公式の修正パッチが提供されないため、専門機関は速やかにサポート対象のバージョンへ移行するよう警鐘を鳴らしている。