隠れた欠陥が共有ウェブインフラに警戒を促す
隠れた欠陥が共有ウェブインフラに警戒を促す
多くの WordPress サイトを含む、全ウェブサイトの推定70%を支えるサーバーサイドエンジンであるPHPで、最近2つの重大な脆弱性が明らかになりました。PHPのような共有インフラに欠陥が生じると、インターネットの広範囲が同時に危険にさらされ、孤立した事例ではなく何百万もの運営者に影響が及びます。
CVE-2026-109618およびCVE-2026-109619として追跡されているこれら2つの重大なメモリ破損の脆弱性は、Remote Code Execution (RCE) を可能にします。セキュリティチームはCVSS v4.0スケールで10段階中9.2という深刻な評価を下しており、攻撃者が認証なしでウェブサイトのサーバーを乗っ取る可能性があることを示しています。このリスクはPHPを実行しているサーバーに適用されるものであり、すべてのPHPサイトが侵害されたという主張ではありません。
CalifやWizなどの企業が参加するOpenAIの「Patch the Planet」イニシアチブが、10年以上も眠っていたこれらの欠陥を発見しました。早期漏洩を受けて、PHPチームは10月21日に緊急パッチのリリースを加速させ、バージョン8.5.12、8.4.27、8.3.36、8.2.35を公開しました。
政府や各機関は緊急勧告で対応しました。FBIのサイバー部門、NSA、および英国の National Cyber Security Centre (NCSC) は、直ちにパッチを適用するか、アップデートが不可能な場合はシステムをオフラインにするよう推奨しました。日本の高市早苗総務大臣（当時）はXで個人的に迅速な対応を促し、オランダ、フィンランド、フランスの政府も予防措置として一部のサービスを遮断したと報じられています。
最も弱いリンクは、誰も管理していないサイトかもしれない
古いフォーラムや地域の予約システムなど、侵害された小規模サイトは特にリスクが高いです。これらのプラットフォームは名前、住所、メールアドレス、さらにはパスワードなどの個人情報を保存していることが多く、侵害が発生すればこれらの機密情報が流出する可能性があります。この欠陥による具体的な侵害は確認されていませんが、流出の可能性は依然として残っています。
ロングテール問題がこのリスクを悪化させています。サポートされている PHP ブランチには重要な修正が提供されましたが、サンプル調査に基づくと、推定46.1%のサイトがパッチを受け取ることのないサポート終了（EOL）バージョンのPHPで実行されている可能性があります。これらの未メンテナンスのインストールは、裏口の鍵を開けたままにするのと同様に、恒久的な脆弱性となります。
ユーザーはデータを保護するために実践的な対策を講じることができます。すべてのオンラインアカウントにユニークで強力なパスワードを使用し、理想的には password manager で管理してください。可能な限り多要素認証を有効にして、セキュリティの層を強化しましょう。
データ侵害への懸念を悪用しようとする不審なメールやメッセージには引き続き警戒してください。特定のウェブサイトについて懸念がある場合は、直接運営者に連絡し、セキュリティ対策やPHPのアップデート状況について問い合わせてください。
AIがバグを発見し、カウントダウンが始まった
AI支援によるコード分析が、研究者がPHPの微妙な欠陥を発見する一助となりました。OpenAIの「Patch the Planet」イニシアチブは、セキュリティ企業WizおよびCalifによる独立した作業と並行して、2つの重大な Remote Code Execution (RCE) 脆弱性を特定しました。CalifはOpenAIのGPT-5.6 Solモデルを活用し、WizはAI支援分析を使用して、10年以上眠っていた両方のバグを表面化させました。
この早期の発見は、極めて重要な防御上の利点をもたらしました。PHPのメンテナー、セキュリティ研究者、そしてOpenAIのような企業に対し、脆弱性を検証し、開示を調整し、詳細が公になる前にパッチを準備するための2ヶ月間の猶予を与えたのです。この管理されたアプローチは標準的な慣行であり、修正が準備される前に攻撃者が既知の脆弱性を悪用することを防ぎます。
しかし、この進歩はデュアルユース（軍民両用）のリスクも浮き彫りにしています。AIは防御的な発見を加速させる一方で、攻撃者が弱点を見つける能力も同様に強化します。脆弱性の詳細が早期に漏洩し、その後、脅威アクターによる迅速な調査が報告されたことで、防御側のリードは大幅に縮小しました。調整された対応の詳細については、「Today's PHP Security Release, and How We're Strengthening PHP Security」をご覧ください。
深刻度が10段階中9.2と評価されたこれらの脆弱性は、8.5.12、8.4.27、8.3.36といったバージョンを含む、過去10年間のほぼすべての主要なPHPリリースに影響を及ぼします。迅速なパッチ適用作業は、AIによって発見された欠陥に大規模に対処することの緊急性を強調しています。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
パッチ適用は緊急の課題ですが、より大きな問題は恒久的なものです
運用者にとっての最優先事項は、PHPのバージョンを特定し、8.5.12、8.4.27、8.3.36、および8.2.35のようなパッチ適用済みリリースを適用することです。しかし、パッチ適用だけでは不十分です。FBIのサイバー部門が警告を発したように、攻撃者がすでにシステムを侵害していないかを確認するために、過去のアクセス状況を調査してください。
このインシデントは、構造的な課題を浮き彫りにしています。インターネットは、30年近くにわたって広く運用されてきたPHPのような老朽化したソフトウェアに依存しています。限られたメンテナンスリソースと、広大で分散化されたウェブを更新することの難しさにより、脆弱性が10年以上も放置される可能性があるのです。
より広範な教訓は明らかです。AIはセキュリティを強化できますが、防御側はペースを維持するために、より迅速なパッチ適用、レガシーシステムへの強力なサポート、そして調整された開示を必要としています。CloudflareとwatchTowrが観測したように、欠陥の漏洩から数時間以内に自動化された大量スキャンとアクティブなエクスプロイト調査が開始されており、より機敏な防御の緊急性が浮き彫りになりました。
よくある質問
AIによって発見されたPHPの脆弱性とはどのようなものですか？
AI支援による分析を使用した研究者が、脆弱なサーバー上でリモートコード実行を可能にする可能性のある、PHPにおける2つの重大な欠陥を発見しました。
これらのPHPの欠陥は、一般的なインターネットユーザーに影響を与えますか？
ユーザー自身がPHPにパッチを当てることはありませんが、脆弱なウェブサイトが保存された個人情報を露出させる可能性があります。パスワードの使い回しは、他のアカウントへのリスクを高める可能性があります。
ウェブサイトの所有者は何をすべきですか？
サイトが影響を受けるPHPバージョンで実行されているかを確認し、関連するセキュリティアップデートをインストールし、サーバーログに侵害の兆候がないかを確認してください。
AI支援による脆弱性発見が重要な理由は何ですか？
AIは研究者が複雑なコードを検査し、微妙な欠陥をより速く見つけるのを助けることができます。これにより、防御側に新しいツールが提供される一方で、攻撃者が同様の能力を使用した場合のリスクも高まります。