PHPに10年以上潜む脆弱性をAIで発見、深刻度9.2で修正版公開｜WordPressも対象

画像：AIエージェントナビ編集部

WordPressやDrupalを動かしているPHPに、10年以上前からの深刻な欠陥が見つかりました。AIを使った調査で見つかったもので、PHPの開発チームは10月21日に修正版を出しています。

本記事では、脆弱性の中身、どの版に更新すればよいか、AIが発見にどう関わったかを解説します。

PHP本体に見つかった2件の深刻な脆弱性

認証なしで外部からコードを実行されるおそれ

Wizによると、今回の脆弱性はCVE-2026-109618とCVE-2026-109619の2件にまとめられ、深刻度はCVSS（脆弱性の深刻さを示す10点満点の指標）で最大9.2です。悪用されると、ログインなしに外部からサーバー上でプログラムを実行されたり、メモリーに残ったパスワードやAPIキーを読み取られたりするおそれがあります。

原因は、PHPがリクエストの処理中に致命的なエラー、特にメモリー不足のエラーを扱う仕組みにあります。途中で止まったリクエストの壊れた内部状態が後のリクエストに引き継がれ、メモリーの漏えいや破壊につながります。

WordPressなど個別のソフトではなくPHPの問題

Wizは、WordPress・Drupal・Joomlaの最新のコンテナ版で、認証なしにコードを実行できることを実証しました。ただし欠陥はPHP本体にあり、アプリ側のコードが安全でも、影響を受ける版のPHPで動いていれば対象になります。

過去10年に出たPHPのほぼすべての版が、少なくとも1件の影響を受けます。古いものではPHP 5.4まで遡ります。

更新先は8.5.12・8.4.27・8.3.36・8.2.35

PHP公式が示した修正版

PHPの開発チームは10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう呼びかけました。対象はWebのリクエストを処理するすべてのPHPで、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを挙げ、最も危険度が高いのはmod_phpだとしています。

Linuxの配布元や長期サポート（LTS）の提供元には事前に修正が渡されているため、使っている配布元の更新パッケージも確認するよう案内しています。

PHP 8.1以前は公式の更新なし

PHP 8.1とそれより古い版には、PHPプロジェクトからの更新がもうありません。PHP公式は、配布元やLTSの提供元に個別の修正があるか問い合わせるか、サポート中の版へ上げるよう求めています。

OpenAIは、使っているPHPの版が影響を受けるかを確かめるチェッカーを、Codexのスキルとして公開しました。

AIはどう関わったのか

CalifとWizがそれぞれ発見

OpenAIによると、米セキュリティ企業のCalifが、OpenAIの取り組み「Patch the Planet」の一環でGPT-5.6 Solを使い、重大な欠陥を見つけました。Wizも独自に2件とも見つけて報告しています。Wizは自社のWiz Atlas、GoogleのGemini 4 Argon、GPT-5.6 Solを使い、特にGemini 4 Argonの貢献が大きかったとしています。

Wizの記録では、最初の脆弱性を見つけたのは8月19日です。修正はPHPの開発チームが主導し、OpenAIやWiz、Cloudflareなどが調査や技術支援、公開前の準備で協力しました。OpenAIは米国の政府機関（CISAなど）とも連携したとしています。

「同様の発見は今後数カ月で急増」

OpenAIは「同様の発見は今後数カ月で急増する」と見ています。同社の知る限り、今回は攻撃者より先にAIが見つけたとする一方、同じAIの力は攻撃側が攻撃ツールを素早く作ることにも使えると注意を促しています。

Wizも、古くからの欠陥を実際に悪用できる形にするには人間の研究者の限界に近い複雑な手順が必要だったが、AIがその壁を大きく下げたと説明しています。

まとめ

• PHP本体に2件の深刻な脆弱性（CVE-2026-109618／109619・CVSS最大9.2）が見つかった
• 認証なしの遠隔コード実行や、メモリー上のパスワード・APIキーの読み取りのおそれがある
• 修正版はPHP 8.5.12・8.4.27・8.3.36・8.2.35。8.1以前は公式の更新がない
• 発見はCalif（GPT-5.6 Sol使用）とWiz（Gemini 4 Argonなど使用）。修正はPHPの開発チームが主導
• OpenAIは同様の発見が今後数カ月で急増すると予測している

出典：OpenAI／Wiz／Calif／PHP