CVSSスコア9.2のこれらの脆弱性はPHPの中核機能に影響し、リモートコード実行を許す恐れがあります。専門家は「直ちにパッチを適用することが不可欠」としています。
インターネットの大部分を支える一般的なコードで、深刻な脆弱性2件が公表されました。各組織は対応に追われています。スクリプト言語PHPで見つかったこれらの欠陥を悪用されると、攻撃者が認証なしでリモートコード実行（RCE）を行う恐れがあります。
PHP Foundationは水曜日の朝、影響を受けるバージョン向けのパッチを公開しました。PHPを運用する組織は直ちにパッチを適用することが「不可欠」だとしています。ウェブリクエストを処理するPHP環境はすべてリスクにさらされており、PHP-FPM、mod_php構成のApache、php-cgi、FrankenPHP、LiteSpeedも対象です。とりわけmod_phpでは、認証なしのリクエストだけで、アプリケーションコードの実行前に攻撃が成立しかねないため、リスクが最も高いと見ています。
この公表を受け、オランダやフィンランドの政府系サイトをはじめ、欧州の一部の政府サイトや世界各地の組織のサイトが、予防措置としてオフラインになりました。
PHPは「ウェブそのもの」
PHPは広く使われているオープンソースのサーバーサイドスクリプト言語です。多くのウェブサイトの基盤となっており、ウェブ全体の43%を支えるWordPressのほか、Mailchimp、Drupal、Magento、Laravel、SlackやZoomの一部など、数多くのサービスが含まれます。
影響はウェブサイトにとどまらないと、オランダ国家サイバーセキュリティセンター（NCSC-NL）は指摘しています。同センターはこれらの欠陥を「PHP2Shell」と総称し、その概要を公開しました。PHPはアプライアンス、ネットワーク機器、管理インターフェース、その他のベンダー製品にも組み込まれており、管理者がPHPを直接更新できない場合があります。さらに、欧州連合（EU）のサイバーセキュリティ脅威を追跡するCERT-EUも、多くの商用・オープンソース製品がバックエンド技術にPHPを採用していると警告しました。PHPのインストールを直接公開していなくても、これらの製品が脆弱性の影響を受ける可能性があるといいます。
このことが、脆弱性の深刻さをいっそう高めています。CVE-2026-109618は、共通脆弱性評価システム（CVSS）の深刻度が9.2です。メモリ不足（OOM）の処理中に起きるメモリ破損を通じて、RCEを許す恐れがあります。OOM処理とは、物理RAMとスワップ領域が枯渇した際に、オペレーティングシステム（OS）やアプリが用いる対処方式です。
CVE-2026-109619もスコアは9.2です。同じワーカー上で後続のリクエストが、前のリクエストが保持していた古いグローバル状態を再利用することで、リモートコード実行が可能になります。
PHP Foundationによると、どちらの欠陥も、ほぼすべてのリクエストが通過する部分にあります。メモリ管理とエラー処理です。同財団が指摘するように、このため両バグは極めて深刻であるうえ、互換性や性能に影響を与えずに修正することも困難です。各組織は、自社が危険にさらされているという前提で対応を始めるべきです。
「これらの脆弱性が重大なのは、問題が存在する場所にあります」と、Forresterのシニアアナリスト、Madelein van der Hout氏は述べます。PHPはウェブサイトの70%を支えており、集中リスクが非常に大きいと指摘しています。
「自社のコーポレートサイトを確認するだけでは不十分です」と同氏は言います。「組織は、どこが危険にさらされているかを把握し、インターネットに公開しているシステムを優先する必要があります」
影響を受ける組織は、PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかに更新すべきです。同財団によると、LinuxおよびLTS（長期サポート）ベンダーには事前にパッチが提供されています。修正の提供状況は、各ベンダーに確認してください。
PHP 8.1などのサポート終了バージョンには、PHPプロジェクトからの更新はもう提供されません。ただし、一部のディストリビューターやLTSベンダーは修正をバックポートして提供しています。サポート対象外のバージョンを使い続けている組織も、ベンダーに確認してください。
ボランティアが保守するrpms.remirepo.netに頼っている場合は、ディストリビューションのパッケージに切り替えるか、ソースからビルドして、直ちに更新を適用すべきだとPHP Foundationは助言しています。
すぐにパッチを適用できない場合は、CERT-EUが示した予防措置を講じて、リスクを減らすよう求めています。ただし、これらの緩和策を講じても、インストールが安全になるわけではないと警告しています。
「これこそ、インターネット規模の脆弱性の姿です」と、ランタイム向けアプリケーションセキュリティ企業OX SecurityのCEO、Neatsun Ziv氏は語ります。「これほど遍在する技術に欠陥があれば、被害の及ぶ範囲は1つの製品や1つの業界にとどまりません。ウェブそのものです」
同社の研究者は、これらの欠陥を独自に再現しました。その結果、問題のある機能はデフォルトで有効になっており、PHP 5.4以降に存在していたことが判明しています。
とはいえ、パッチ適用は対応の一要素にすぎないと専門家は強調します。Forresterのvan der Hout氏は、スピードが重要だと指摘します。セキュリティチームは、PHPが動作している場所をすべて洗い出し、公開されているシステムを優先し、公式の修正を速やかに適用して、侵害の兆候を調査する必要があります。
「パッチは脆弱性を修正しますが、攻撃者がすでに確保したアクセス権まで必ずしも取り除くわけではありません」と同氏は述べました。
オフラインは「侵害された」を意味しない
ダークウェブではすでにエクスプロイトが出回っているとの噂があります。専門家は、サービスを停止して保護し、そのうえでパッチを適用するのは現実的な選択だと話します。
Forresterのvan der Hout氏は、ウェブサイトをオフラインにしても、ハッキングされたことを意味しないと強調しました。脆弱性のある可能性があるシステムを、まだパッチ適用も十分な保護もできない場合、一時的にオフラインにするのは「釣り合いのとれたリスク判断」になり得ます。つまり、深刻な侵害を受けかねないリスクを負うより、短時間の可用性の低下を受け入れるという判断です。
結局のところ、これは単なるパッチ管理ではなく、運用レジリエンス（回復力）が問われる試金石だとvan der Hout氏は言います。組織は、サービスを稼働し続けられるのか、必要なときに誰がオフラインにする権限を持つのかを決めておかなければなりません。
「一時的な停止は正しい判断になり得ます。しかし、侵害が確認されていなくても、ソフトウェアの脆弱性が事業の中断につながり得ることを示しています」と同氏は述べました。
防御にもハッキングにも働くAIの役割
OpenAIは、今回のPHP対応で果たした役割を詳述するブログを公開しました。それによると、レッドチーム組織のCalifが、OpenAIの「Patch the Planet」イニシアチブの一環として、GPT‑5.6 Solを使い、深刻な欠陥を特定しました。Wizも両脆弱性を独自に発見して報告しています。OpenAIのパートナー各社は、PHPの公表に先立ち、調査、技術支援、調整で協力しました。
OpenAIは、脆弱なPHPバージョンの特定と適切な更新の適用を支援するため、PHPバージョンチェッカーをCodexスキルとして提供しています。
「これらの欠陥の深刻さとPHPの広範な利用を考えると、近年で最も影響の大きいセキュリティ問題の1つだと考えています」とOpenAIは述べています。
同社は、これがセキュリティにおけるAIの役割の転換点だとも示唆しました。最先端のAIが攻撃者より先に脆弱性を発見し、保守担当者に先行する時間を与えたというのです。これを同社は「防御側の猶予」と呼んでいます。
「AIがインターネット規模の影響を持つセキュリティ上の欠陥を見つけ出せることを示しています。一方で、同じ能力は、攻撃者が攻撃ツールやエクスプロイトを素早く開発する助けにもなり得ます」とOpenAIは指摘しました。
グローバルな技術プロバイダーThe Adaptavist GroupのDevOps責任者、Matt Saunders氏は、後者の点を強調します。「脆弱性が公表された途端、無数のAIボットがエクスプロイト可能なシステムを探し始めます」と述べました。こうしたボットは、深刻度の低い複数の攻撃を連鎖させ、今回の深刻な脆弱性と組み合わせて、組織に侵入できると指摘しています。
つまり、「AIで強化された攻撃を使う意思のある者にとって、侵害による被害の及ぶ範囲は、今や潜在的にはるかに広がっています」というのが同氏の見方です。
