AI発見のPHP脆弱性、修正と国内対応に混乱
- •PHP開発チーム、認証不要のコード実行につながる脆弱性2件を修正
- •CalifがGPT-5.6 Solで1件を発見、情報流出と動画誤公開で公開日を前倒し
- •国内サービスが予防停止、Amazonは10月17日付の攻撃試行を確認
PHP開発チームは2026年10月21日、認証なしでサーバー上のコードを実行される恐れがある重大な脆弱性2件の修正版を公開しました。同日、OpenAIは2件のうち1件を、セキュリティ企業CalifがAIモデルGPT-5.6 Solを使って発見したと発表しました。国内では業務、保育、行政のサービスが予防的に停止し、高市早苗首相はPHP更新の準備を呼び掛けました。
PHP本体の問題は「PHP2Shell」と呼ばれ、メモリ不足や致命的エラーの処理で内部状態が不整合になり、条件次第で遠隔からコードを実行される恐れがありました。WordPressは今回の問題に対応するためのWordPress自体の更新は不要と説明し、利用者にホスティング事業者の案内を確認してPHPを更新するよう求めました。Califの発見は、OpenAIのオープンソース保守支援策「Patch the Planet」の一環でした。Wizも独立して脆弱性を発見・報告し、複数の問題を組み合わせ、対象ごとに異なるメモリ配置に合わせて攻撃を調整する検証やデバッグにAIが貢献したと説明しました。
根本原因につながる兆候はPHP側が2024年に把握していましたが、具体的な攻撃経路が見つからず、互換性などを考慮した修正方針の難しさや人員不足から対応が停滞しました。2026年夏の報告で影響が明確になり、修正が最優先となりました。PHPの保守担当者が修正とリリースを主導し、研究チームやセキュリティ企業が検証と防御策の準備に協力しました。
PHP Foundationによると、日本時間21日午前0時頃、脆弱性の識別番号などがオンライン上に流出したため、修正版の公開予定は22日から21日に前倒しされました。同日午前5時頃、Califが攻撃の成立を示す実証動画を誤って公開し、削除後もコピーがSNS上で流通しました。同財団は動画が実証コードの開発を加速させたと説明しました。午後4時41分には、ソフトウェア配布企業Chainguardが修正を含むイメージを協調公開予定より6時間以上早く公開し、財団は、攻撃者が修正内容を解析できる状態になったと指摘しました。
国内ではChatworkが21日夜から22日未明に予防的なメンテナンスを実施し、保育・教育施設向けのコドモンも全サービスを停止しました。コドモンは施設に登降園記録簿などで代替運用するよう案内し、21日の告知では今回の問題に起因する不正アクセスや情報漏えいは確認していないと説明しました。気象庁では22日午前、一部の気象データページなどが閲覧できなくなりましたが、キキクル、台風情報、雨雲の予報ページは利用できたとFNNが報じました。高市首相は21日夜、公開中のウェブサイトでPHPを利用しているか確認し、同日午後11時に公開予定の修正パッチを速やかに適用できるよう準備を求めました。
Amazon Threat Intelligenceは21日、攻撃を誘い込んで観測する「MadPot」の記録から、17日付の悪用試行を確認したと発表しました。攻撃情報の入手経路と実環境での成功の有無は不明として、侵害調査を少なくとも17日までさかのぼるよう求めました。JPCERT/CCは国内で続く不正アクセスについて、標的ごとに異なる既知の脆弱性や管理不備を探索・悪用している可能性を挙げ、PHPの2件とは別にAPIや管理機能なども点検するよう促しました。PHP Foundationは過去の対応停滞を意思決定と資源不足による構造的な失敗と認め、判断の仕組みを見直しています。同財団は、AIによる報告が増えても修正方針の判断やレビューにはPHP全体を熟知する技術者が必要として、利用企業や政府機関などに継続的な資金支援を求めました。