PHP2Shell、AIが見つけたPHPの重大な欠陥が修正
- 何が起きた?
- 認証なしで乗っ取れる欠陥2件(CVSS 9.2)
- どう見つけた?
- GPT-5.6 Sol などのAIを活用
- 何をすべき?
- PHP 8.5.12 などへ更新
何が起きたか
PHPの開発チームは10月21日、遠隔からコードを実行されるおそれのある重大な欠陥2件(CVE-2026-109618、CVE-2026-109619。深刻度の指標CVSSは9.2)を修正した更新版を公開しました。PHP 8.5.12、8.4.27、8.3.36、8.2.35が対象です。セキュリティ企業のWizは、AIモデルを使ってこれらの欠陥を見つけたと説明し、WordPressなどで認証なしに乗っ取れる実証コードも作ったとしています。OpenAIも同じ根本原因を別に報告していたと、PHP財団は書いています。
なぜ大事か
PHPは多くのウェブサイトの土台です。「ウェブサイトの最大70%に影響する」という数字はWizの主張で、第三者の検証は示されていません。AIが人手では数か月かかる脆弱性探しを短期間で進められることを示す例でもあります。
日本への影響
PHPを使うサイトやWordPressは日本でも広く使われています。管理者は自分のサーバーのPHPのバージョンを確認し、更新する必要があります。
海外の報道や各社の発表をもとに、ai.1min.news が日本語でまとめました。AIの使い方と編集方針