PHPセキュリティ続報
PHP2Shell、ネットの7割が使うPHPの穴、すでに攻撃も確認
- 何が危ない?
- パスワードなしで外からサーバーを乗っ取れる2つの欠陥
- どこまで広がった?
- 銀行・病院・役所などがサイトを止めて修正。実際の侵入も確認
- AIの役割は?
- 攻撃方法づくりをAIが手伝ったが、大半は研究者の知識だった
何が起きたか
ウェブサイトを動かす言語PHPで見つかった2つの重大な欠陥(通称PHP2Shell、CVE-2026-109618と109619)について、TechCrunchが経緯をまとめました。パスワードなしで外部からサーバーを操作できる欠陥で、PHP財団は10月21日に修正版を公開しました。銀行や小売、病院、一部の政府機関などが修正のためにサイトを一時停止し、Palo Alto NetworksやTrail of Bitsは実際に侵入された例を確認しています。
なぜ大事か
記事によると、ネットに公開されたサイトの約7割がPHPを使っており、WordPressやWikipediaの仕組みも含まれます。Amazonは修正版の公開より約1週間前から悪用を検知していたといい、攻撃者が先に知っていた可能性があります。発見したCalif社は、AIは攻撃方法づくりを手伝ったものの、作業の大半は研究者の知識によるもので「どんなバグでも簡単に見つけられるAIはまだない」としています。
日本への影響
日本でもWordPressなどPHPで動くサイトは非常に多く、自社や取引先のサイトが修正済みかを確認することが大切です。小さな会社や古いシステムほど対応が遅れやすいと記事は指摘しています。
海外の報道や各社の発表をもとに、ai.1min.news が日本語でまとめました。AIの使い方と編集方針