PHP2Shellの余波は広がり続けている。10月22日、複数のセキュリティメディアが続報を伝えた。OpenAIが「近年で最も影響の大きいセキュリティ事件の一つ」と呼んだPHPコアの脆弱性（CVE-2026-109618、CVE-2026-109619）は、10月21日の公式パッチ公開より前に、攻撃者がすでに4日間の悪用ウィンドウを確保していた。欠陥はPHPインタプリタのメモリ処理ロジックに潜み、ログインなしでリモートコード実行を可能にする。CVSS 4.0で9.2と評価され、Webサイトを動かすほぼすべてのPHPバージョンが影響範囲に入る。
タイムライン：AIによる脆弱性発掘から世界的緊急事態へ
発覚の過程自体にAIの痕跡がある。8月11日、CalifはOpenAIの「Patch the Planet」プログラムでGPT-5.6 Solを使い、重要欠陥の一つを発見した。8月24日にはWizがGemini 4 Argon、GPT-5.6 Sol、自社ツールWiz Atlasで両方の脆弱性を独自に発見・報告した。9月18日にはOpenAI自身のセキュリティチームも独自に報告した。PHPプロジェクトは10月22日の協調開示を予定していたが、10月20日に詳細が事前流出し、4つのパッチ版（8.5.12、8.4.27、8.3.36、8.2.35）は10月21日に前倒し公開された。しかもAmazon Threat Intelligenceは10月17日の時点でハニーポットへの悪用試行を検知していた。攻撃者はパッチより4日早かった。開示後24時間でImpervaは48万件の攻撃リクエスト、12.2万件の攻撃セッションを記録し、103カ国の約2.2万サイトが標的になった。米NSA、英NCSC、ホワイトハウスは相次いで連邦機関と重要インフラ事業者にリスクの即時評価を求めた。
影響の大きさ：WordPressだけの問題ではない
最も誤解されやすい点は、これがプラグインやアプリケーションのバグではなく、PHP言語ランタイム自体の脆弱性だということだ。WordPress、Drupal、Joomlaは最も目立つ被害者にすぎない。Wizによれば、PHP 5.4から8.5.11までの全バージョンが少なくとも一方の脆弱性の影響を受ける。PHPプロジェクトはApacheのmod_phpを最もリスクの高い環境と位置づけた。実証された攻撃は、アプリケーションコードが動く前に、1回の未認証リクエストで成立するからだ。コード実行だけでなく、脆弱性はHeartbleedのようにサーバーのメモリを読み取ることも可能で、パスワード、トークン、APIキーが流出しかねない。
今すべきこと
PHPプロジェクトの姿勢は明確だ。アップグレードが唯一安全な選択肢であり、アプリケーションだけ上げてPHPランタイムを上げなければ穴は塞がらない。すぐ上げられない場合は暫定の緩和策を取る。アプリケーションが上書きできない位置でmemory_limitを-1にし、post_max_sizeを低く保ち、session.upload_progress.enabledを無効化し、PHP 8.5ではfatal_error_backtracesを0にして、すべてのワーカープロセスを再起動する。ただしこれらは既知の攻撃経路を塞ぐだけで、アップグレードの代替にはならない。
PHP2Shellは画期的な事例になるだろう。AIによる脆弱性発掘が、10年以上潜んでいた深部の欠陥を初めて再現可能な攻撃チェーンに変えた。OpenAIもWizも、掘り出すのに複数のモデルを必要とした。今回は攻防の時間差が4日だったが、次はもっと短いかもしれない。サイト運営者と運用チームにとって結論は一つだ。PHPランタイムは今すぐ上げる。後回しにしない。
