AI時代の防御
詳細を見る
PHP Foundationは2026年10月21日、Webサイトやアプリで広く使われるPHPの重大な脆弱性2件に対し、緊急セキュリティ更新を公開しました。対象はPHP 5以降でWebリクエストを処理する全環境に及び、認証なしの攻撃者がコードを実行したり、パスワードやAPIキーを含み得るプロセスメモリを読み取ったりする恐れがあるため、運用者には即時更新が求められます。
2件はCVE-2026-109618とCVE-2026-109619で、深刻度はいずれも10点中9.2です。公式サポート中のPHP 8.2以降には修正版が提供される一方、旧版は一部の配布元や第三者による対応に限られ、PHP Foundationは完全な緩和策はなく、更新が唯一の安全な選択肢としています。
Cloudflareは正式な詳細公開前から初期の攻撃が現れていると報告し、専門家は攻撃が短時間で大規模化する恐れを指摘しました。英国のNCSCなどは、直ちに修正できないインターネット公開システムを一時停止し、悪用の兆候を監視するよう促しています。
WizはAIツールを一部活用し、CalifはGPT-5.6 Solを用いて脆弱性を独立に発見したと各社は説明しています。PHPの保守担当者が修正と公開を主導し、OpenAI、Wiz、Cloudflare、政府機関などが約2カ月にわたり、検証や防御策、事前通知を調整しました。
企業はまず、社内外で稼働するPHPを棚卸しし、特にインターネット接続環境を優先して更新、動作確認、侵害調査を進める必要があります。OpenAIのPHP版確認用Codexスキルや公式案内を使い、侵害の兆候があればシステムを隔離してログを保全することが、被害拡大を防ぐ実務上の要点です。