「PHP2Shell」：AIがPHPの重大なRCE脆弱性を発見、インターネットの70%に影響
Wiz Researchは、汎用スクリプト言語PHPのコア部分に存在する複数の重大な脆弱性を発見した。認証なしでリモートからコードが実行される恐れがあり、PHPは2026年10月21日に修正パッチを公開した。
Wiz Researchは、PHPのコアエンジンに存在する複数の重大な脆弱性を発見したと発表した。これらはCVE-2026-109618およびCVE-2026-109619の2つのCVEにまとめられ、認証なしでのリモートコード実行とメモリ情報の漏えいを可能にするとされる。
脆弱性の概要
PHPは汎用スクリプト言語であり、元記事によると世界の全ウェブサイトの70%がPHPで動作している。今回の脆弱性は、PHPのコアエンジンにおける複数のメモリ安全性の問題である。重大度はCVSSスコア9.2に達するとされ、ブログでは悪用可能なバグ4件が取り上げられている。
過去10年間にリリースされたすべてのPHPバージョンが、これらの脆弱性のうち少なくとも1つの影響を受けるとされ、バージョン5.4まで遡る。攻撃者はリモートから悪用でき、場合によっては比較的容易に悪用可能とされる。
悪用に成功した場合、攻撃者は影響を受けるサーバーを乗っ取り、機密データを盗み、そこで稼働するウェブサイトを改ざんできる可能性がある。
影響範囲と悪用の実証
Wiz Researchは、脆弱性を単一のエクスプロイトスクリプト「php2shell」にまとめ、テスト時点での最新コンテナイメージを使ってWordPress（wordpress:latest）、Drupal（drupal:latest）、Joomla（joomla:latest）の環境で認証なしのリモートコード実行を実証した。
Wizはリモートコード実行を伴わずに、PHPプロセスのメモリから機密データを読み取れることも示した。そのメモリには、他のリクエストやサーバー自体に属するパスワード、認証トークン、APIキー、証明書が含まれる可能性がある。
PHPのコードベースには、追跡されている問題に加え、おそらく未追跡の同種の問題も存在する可能性がある。
研究におけるAIの役割
Wizは研究全体を通じて、Wiz Atlas、Gemini 4 Argon、GPT-5.6 Solを使用した。研究者らによると、フロンティアAIモデルは機能する悪用コードの開発に必要な障壁を大幅に下げたという。
Raluca Ada Popa（Google DeepMind、Head of Gemini Security）は次のように述べた。
「Gemini 4 Argonが、防御側のそのギャップを埋め、脆弱性の発見と修正を支援している姿を見られてうれしい。」
— Raluca Ada Popa
報告から公開までの経緯
Wiz Researchは2026年8月19日に最初のPHP脆弱性を発見した。8月24日にはPHPのセキュリティチームへ報告し、9月21日にPHP側が報告を確認して協調的な修正の開発を開始した。10月21日にパッチ適用済みのPHPリリースが提供され、脆弱性が公開された。
筆者の見立て
- 元記事は、今回の発見がPHPにおいて最も深刻な脆弱性の一つであり、ソフトウェアの歴史においても同様に深刻だと論じている。
- 元記事は、PHP2Shellが AI時代における同様の転換点となる可能性があり、長年知られてきた脆弱性の実際の悪用可能性をAIがどう変えうるかを示すものだと予想している。
- 元記事は、作業に必要な時間と専門知識が減れば、複雑さはもはや有意な障壁とならない可能性があり、実際に脆弱とみなされるものの定義が変わる可能性を示唆している。
- 元記事は、これが発見と悪用の経済性を変え、かつては悪用が非現実的とみなされていた脆弱性が標的になりうることを示唆していると論じている。
- 元記事は、影響を受けるインターネットの70%を踏まえると、PHP2Shellの影響は過小評価できず、AIの転換点を示すものだと論じている。
- 元記事は、既存ソフトウェアの欠陥を体系的に見つけ、本番環境に届く前に新たな欠陥を捕捉する作業を日常的なものにすることが機会だと論じている。
- 元記事は、フロンティアAIがサイバー防御にとってゲームチェンジャーだと論じている。
- 元記事は、これが異なる環境にまたがる攻撃の拡大障壁を大きく下げる可能性を示唆している。
この記事は元記事の事実のみに基づいて自動生成されました。
出典
- 媒体: Wiz.io
- 原題: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- URL: https://www.wiz.io/blog/php2shell-php-rce
- Wiz.io（OpenAI、Calif、Automattic、Akamai、AWS、Cloudflare、Fastly、Google、Imperva、Microsoft、Vercel、Google Cloud の報道による）