PHPに重大な脆弱性。何が起きて、AIはどう関わったのか
PHPの2件の重大な脆弱性について、不具合の仕組みと、発見・検証にAIが果たした役割を紹介します。サイトの管理者に確認したい点もまとめました。
2026年10月21日、PHPに見つかった2件の重大な脆弱性について、修正版が公開されました。悪用されると、外部の攻撃者がサーバー上で不正なプログラムを実行できる可能性があります。
PHPは、Webサイトの裏側で画面を作ったり、データを処理したりするためのプログラミング言語です。WordPressなどにも使われており、PHPを知らなくても、それで動くサイトを利用している人は少なくありません。
翌22日には、JPCERT/CCも注意喚起を公開しました。JPCERT/CCは、不正アクセスなどの報告を受け付け、分析や対応支援を行う中立の専門組織です。今回の案内には、影響を受けるバージョン、対策、被害を調べるポイントがまとめられています。
では、何が危ないのでしょうか。今回の不具合の一つを、お店の仕事にたとえてみます。
これは、情報の取り違えを説明するためのたとえです。実際のPHPでは、使い終わったメモリの場所をまだ有効だと思い込み、次の処理で使ってしまう不具合がありました。もう一つは、メモリ不足で処理が中断した際、作りかけの内部データを正常なものとして扱ってしまう問題です。条件がそろうと、こうした誤りを不正なプログラムの実行に悪用されるおそれがあります。
今回、AIが関わったのは、問題の発見と、その危険性を確かめる作業でした。
PHP Foundationによると、メモリ不足に関わる問題の兆候は、2024年の監査への対応中に見つかっていました。しかし、具体的な攻撃経路が分からず、修正には互換性などの難しさもあり、対応が停滞していたと説明しています。
2026年には、セキュリティ企業CalifがOpenAIのAIモデルを使って重大な欠陥を発見。Wizも独立して問題を発見・報告しました。
「ここが怪しい」と分かっても、本当に悪用できるかを確かめるには、条件を変え、失敗の原因を調べ、何度も試す必要があります。Wizは、その検証や環境に合わせた調整にAIを活用し、修正が有効かの確認にも役立てたと報告しています。
つまり、AIは問題を探すだけでなく、人間には手間のかかる試行錯誤を助け、「危なそう」を「実際に危険だと確かめられた」に進める役割も果たしたのです。
この力は、問題を先に見つけて直す側の助けになります。同じ能力が、攻撃する側の準備を速めるおそれもあります。そして、問題が見つかっても、修正を判断し、利用中のシステムに届ける仕事は残ります。
自分や会社のサイトがある場合は、管理者や制作会社に確認してください。
- 今回の脆弱性の影響を受けるPHPを使っているか。
- 修正の適用は完了しているか。
- 不正アクセスや改ざんなど、侵害の有無も確認しているか。
PHP公式は速やかな更新を求めています。設定変更による緩和策もありますが、特定の攻撃経路を減らすもので、更新の代わりにはなりません。サーバー会社などが修正を配布する場合もあるため、利用している提供元の案内を確認してください。
サイトを利用する側は、運営元が発表する影響と対応を確認しましょう。脆弱性が公表されたことだけで、自分の情報が漏れたと決まるわけではありません。
今回の経緯を読むと、AIで問題を見つける力が高まるほど、見つかった問題に対応できる体制が大切になると感じます。小さなサイトでも、「何を使っていて、誰に更新を頼めるのか」を把握しておく。その備えの意味は、これからさらに大きくなりそうです。
確認日：2026年10月22日 対象：CVE-2026-109618／CVE-2026-109619
参考資料：