PHPに深刻な脆弱性、大半のウェブサイトが乗っ取りの危機に

ウェブスクリプト言語PHPに存在する重大な脆弱性を悪用されると、この広く使われているソフトウェアで稼働するあらゆるウェブサイトをハッカーに乗っ取られるおそれがあります。PHPの開発者が21日（水）に明らかにしました。開発者は緊急アップデートを公開し、サイト運営者は修正対応に追われています。

「すべてのPHPユーザーに、直ちに更新することを強く推奨します」。開発者は新バージョンに関するセキュリティ勧告でこう呼びかけています。新バージョンはCVE-2026-109618とCVE-2026-109619の2件の脆弱性を修正するものです。いずれも、この人気のオープンソース・スクリプト言語で開発されたウェブサイト上で、ハッカーが悪意のあるコードを実行し、サイトを乗っ取れる可能性があります。

米国家安全保障局（NSA）はソーシャルメディア上で、「これらの脆弱性は多くの場合、サーバーのファイルシステムやデータベースへの直接的な経路になります」と警告しました。

PHPの脆弱性による被害の規模はまだわかっていません。ただ、ある研究者の推計では、130万以上のウェブサイトが脆弱な状態にあります。Google傘下のセキュリティ企業Wizは、PHPが「世界のウェブサイトの70%を支えている」と指摘しています。

Wizの研究者はブログ記事で、「今回の発見は、PHPで見つかった脆弱性の中でも最も深刻な部類に入り、ソフトウェアの歴史全体を見ても指折りと言えるでしょう」と述べました。

世界各国のサイバーセキュリティ機関も動いています。英国、カナダ 、オーストラリアの各機関に加え、欧州連合（EU）のサイバーセキュリティ緊急対応チームも、PHPのバージョンを更新するまでサイトをオフラインにするようサイト運営者に求めました。一部の組織は実際に対応しており、フィンランド政府やオランダ下院は21日（水）、サイトをインターネットから切断しました。

これらの脆弱性を発見したのは、セキュリティ企業Califの研究者です。OpenAIのGPT-5.6 Solモデルを使って見つけたと、OpenAIが声明で明らかにしました。なお、同じ欠陥を独自に発見したWizも、最先端のAIモデルを使って見つけたとしています。

OpenAIは「これらの欠陥の深刻さとPHPの普及度を踏まえると、近年で最も影響の大きいセキュリティ問題の一つだと考えています」と説明しました。さらに、「AIがインターネット規模の影響を持つ欠陥を見つけ出せることを示す一方で、同じ能力は攻撃者による攻撃ツールやエクスプロイトの迅速な開発にも使われかねません」と指摘しています。

OpenAIによると、パッチ適用の作業は、米国や海外の政府機関と調整して進めました。調整先には、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）やホワイトハウスの国家サイバー長官室が含まれます。