【geek-terminalニュース】PHP2Shell脆弱性をAIが発見?4日間の先行攻撃説の最新情報

以前お伝えしたPHP緊急セキュリティリリース(CVE-2026-109618/CVE-2026-109619、通称PHP2Shell)の続報です。今回は「フロンティアAIがこの脆弱性を独立に発見した」「公開後、攻撃者に4日間の先行期間があった」という二つの話題が出ています。ただし先に結論を言うと、この二点は現時点で公式・大手メディアの本文で裏付けを取れていません。確認できた事実と、噂段階の話を分けてお届けします。

【事象の全貌と背景】

まず確認できている事実からです。PHPのセキュリティチームは2026年10月21日、2件の重大なリモートコード実行(RCE)脆弱性CVE-2026-109618とCVE-2026-109619に対する緊急セキュリティパッチを公開しました。2件は総称して「PHP2Shell」と呼ばれ、認証不要でRCEが可能とされています。影響を受けるのは、Webリクエストを処理するすべてのPHP環境です。PHP-FPM、Apache(mod_php)、php-cgi、FrankenPHP、LiteSpeedが含まれます。VirusTotalの推計では、インターネットに公開されたPHPホストは510万台以上、そのうち約380万台が少なくとも1つのポートを開放しています。PHP Foundationによれば、影響は2004年7月公開のPHP 5まで遡ります。一方で、現在パッチが提供されるのはPHP 8.2以降だけです。

次に、噂段階の話です。The Decoderの記事URLのスラッグには「OpenAIのGPT-5.6 SolとGemini 4 Argonが、数百万サイトに影響する重大なPHP脆弱性を発見した」という趣旨の文言が含まれています。Ars Technicaのスラッグは「攻撃者が4日間の先行期間を得た」と読めます。しかし今回、どちらも本文を取得できていません。公式情報や事実検索の結果にも、AIによる発見の経緯や手法、攻撃が4日間先行したという根拠、実際の悪用規模を裏付ける記述はありませんでした。真偽のほどは定かではない、という前提でお聞きください。

背景として、10月22日放送分でお伝えした通り、今回のリリースは事前予告つきという異例の展開でした。watchTowrのBenjamin Harris CEOがBleepingComputerに語ったところでは、本来は木曜午前11時(米東部時間)に公開予定のエンバーゴ下にあった情報が漏えいしたとされています。

【技術的ディープダイブ】

報じられている技術的な性質を整理します。CVE-2026-109618は、メモリ不足(OOM)による破損を引き起こす複数の弱点の連鎖を悪用し、Webワーカーアカウントの権限でRCEを得られるタイプです。CVE-2026-109619は、古いグローバル状態(stale global state)に起因し、認証なしでヒープのUse-After-Free、メモリ情報の漏えい、RCEが可能とされます。いずれもWebワーカーの権限で実行されます。

Microsoftのコミュニティ記事によれば、2件ともネットワーク経由で、権限もユーザー操作も不要で悪用でき、機密性・完全性・可用性への影響は大きいとされています。原因は、メモリ枯渇や致命的エラーなどでリクエストが異常終了した際のPHPのメモリ処理にあります。特定条件下で不適切なメモリ処理が起き、攻撃者がRCEを達成できる可能性があるという説明です。

修正版は8.5.12、8.4.27、8.3.36、8.2.35です。深刻度については注意が必要です。漏えい時点ではCVSS 10と報じられていましたが、Microsoft Q&Aの投稿が引用するCVSS v4.0は9.2でした。HNでも、漏えい時点の10.0は誤りで実際は9.2だったという趣旨の引用が出ています。ただし公式スコアはPHPプロジェクトの公式アドバイザリで確認すべきです。

暫定策としては、Azure Front Door WAFにマネージドルール99006001が順次展開されており、2026年10月28日までの完了が見込まれています。ただしこれは高信頼シグナルによる緩和でトラフィックをブロックしません。Microsoft自身が、完全な対処はパッチ版PHPへのアップグレードだけだとしています。さらに、Microsoft Q&Aの利用者投稿(公式回答ではありません)には、Azure App Service for Linuxの環境がまだPHP 8.4.26で脆弱なままで、悪用の報告も見ているという声がありました。

「AIが発見した」という点を技術的に裏付ける材料は、今回は手元にありません。だからこそ、本文を確認できた段階で、どのモデルが、どの程度自律的に、どのコードパスから見つけたのかを検証する価値があります。

【コミュニティの生々しい熱量と議論】

取得できたのはHNの1スレッド(「PHP2Shell: AI uncovers critical RCE in PHP」)のみで、RedditとLessWrongの発言は入力に含まれていませんでした。議論の中心は技術詳細ではなく、「情報はどう漏れたのか」でした。

simonwは「どう漏れたのか理解したい。9月21日から10月21日の間に、相当な数の人が関与したはずだ」と疑問を投げかけました。さらに記事を引用し、10月20日火曜の15:00 UTC頃に2件のCVE IDがフォーラムやSNSで出回り始めたこと、その際は誤った公開時刻とCVSS 10.0という誤ったスコアが付いていたこと、技術詳細は漏れていなかったことを紹介しています。続けて、約20:00 UTCの事前告知の結果、報告元のセキュリティ企業の一つCalifが誤って動画を公開したとも引用していますが、引用はそこで途切れており、動画の中身は確認できません。

元AWSのmjr00は、Spectre/Meltdown対応の経験を語りました。約1か月の事前通知を受け、need-to-knowで対応チームを組んだものの、マネージャーでさえ詳細を知らされなかったのに、社内で30人以上が事実を把握していたそうです。そのうえで「今回は影響範囲がはるかに広く、数十社、おそらく数百社が事前通知を受けた。パッチを当てるチームの誰か一人が15分のネット有名人になりたければ漏れる」と指摘しました。geerlingguyも、小さな脆弱性ですら公開の1〜2日前にはホスティング各社へ共有されると述べ、事前に広がるほど誰かが口を滑らせる確率が上がると同意しています。

bombcarは開示プロセスそのものを批判しました。「2か月は長すぎる。報告からPHPが認知するまで1か月かかったのは、メールやWebフォームで送っただけに見える。本来はMAJOR DISTROやWORDPRESSの知人経由で、適切な人に直接つないでパッチをねじ込むものだ」という趣旨です。

また、公式情報では、漏えいに先立ってHNで「petecooper」というユーザーが、10月22日に2件の重大なPHP脆弱性が公開されると投稿していた(現在は削除済み)ことも報じられています。CVE番号はwatchTowrが後に示したものと一致したとのことです。

【今後の展望とエコシステムへの影響】

最大の論点は二つです。一つは、AIが脆弱性を見つける時代の開示プロセスです。仮に複数のフロンティアモデルが同じバグを独立に掘り当てられるなら、同じ欠陥を別の誰かが同時に見つけている可能性が高まり、エンバーゴを守る意味と期間の設計が根本から問い直されるでしょう。「2か月かけて静かに直す」モデルは、AI前提では成立しにくくなるかもしれません。ただしこれは、AI発見の話が事実であると確認できた場合の仮定です。

もう一つは、レガシー環境の取り残しです。パッチが出るのはPHP 8.2以降だけで、PHP 5〜7を使い続ける環境は、ディストリビューションやベンダー独自の修正に頼るか、移行するしかありません。WAFは補助策にすぎず、根本対処はアップグレードです。

実務的には、まず自環境のPHPバージョンを確認し、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35のいずれかへ更新することが最優先です。公開後の攻撃実態については、Ars TechnicaとThe Decoderの本文を確認でき次第、あらためて整理します。確度の低い数字だけが独り歩きしやすい局面なので、「4日間の先行」「数百万件の試行」といった数値は、一次情報で裏が取れるまで保留にしてください。