PHP中核エンジンに十数年潜んでいたメモリ欠陥が、最先端モデルの助けで実際に使える遠隔攻撃チェーンへ姿を変えた。2026年10月21日、Wiz ResearchはPHP2Shellと総称されるこの脆弱性群を公開し、PHPチームも同日に修正パッチを出した。脆弱性はCVE-2026-109618とCVE-2026-109619の2件にまとめられ、深刻度は最高9.2。過去約10年のPHPリリースはほぼ全て少なくとも1件に該当し、5.4まで遡る。
悪いのはサイトのコードではなく、言語そのもの
PHPは世界の約7割のウェブサイトを支え、WordPress、Drupal、Joomla、ウィキペディアのMediaWikiもその上で動く。問題はPHPが致命的エラー、特にメモリ枯渇エラーを処理する方法にある。異常終了したリクエストが汚染された内部状態を残し、後続リクエストがそれを再利用すると、プロセスメモリを読まれたり、任意コード実行にまで進んだりしうる。Wizは最新イメージのWordPress、Drupal、Joomlaで未認証の遠隔コード実行を実証し、実行権を取らずにサーバープロセスのメモリを読む手口も示した。そのメモリには他リクエストのパスワードやトークン、証明書が含まれうる。つまり、サイト側のコードが完璧でも、下のPHPにパッチが当たっていなければ危険は残る。
AIが下げたのは発見速度ではなく、利用の敷居
脆弱なコードは十数年存在した。大規模に悪用されなかった理由の一つは、メモリバグを安定した攻撃チェーンに仕上げる作業が極めて煩雑で、バージョンやメモリ配置ごとに適応が必要だったことだ。Wizによれば、研究では自社ツールに加え、Gemini 4 ArgonやGPT-5.6 Solなどの最先端モデルを発見、利用開発、検知、パッチ検証に活用し、OpenAIのPatch the Planet計画も開示前の発見と調整に参加した。かつて一流チームで数か月かかった仕事を研究者1人が約1週間で終えた点こそが本当の警告である。古い脆弱性の危険度は、もう「利用がどれだけ難しいか」だけでは測れない。モデルがそのコストを引き下げているからだ。
サイト運営者に最優先の仕事は一つ
公式の修正済みPHPへ更新することが唯一の完全な対策であり、遅れるほど公開情報が汎用ツール化される確率が上がる。すぐ更新できない環境は、クラウドやホスティング事業者が開示前に用意した緩和策でしのぎつつ、異常な大きなアップロード要求、続くメモリ上限エラーと500エラー、PHPワーカーの頻繁な再起動といった兆候に注意し、更新日程を早急に決めるべきだ。十数年誰も触らなかった部品が安全だとは限らない。今回はPHPだったが、次はウェブ全体で共有されるどの土台でも起こりうる。
