PHPのメンテナンスチームは、協調開示日の前に2つの重大な脆弱性の詳細がオンラインで漏洩したことを受け、水曜日に予定より1日前倒しで緊急パッチを公開した。この脆弱性により、既知のサーバーサイド言語を持つウェブサイトの約70%で使用されているPHPで稼働するサーバーへの攻撃が可能になる。

協調開示は10月22日に予定されていたと、OpenAI社長のグレッグ・ブロックマンが述べている。OpenAIはこの取り組みを協調開示の発表で詳述している。協調開示は、技術的な詳細が公開される前に修正策が用意されている状態を作ることを目的としており、今回の情報漏洩はその猶予期間を食い潰す形となった。詳細がその日付より前に流出し始めたため、PHPのメンテナンスチームは公開を10月21日に前倒しした。

「連合が丸2か月の準備期間を確保できたことに感謝している」とブロックマンはXへの投稿で述べた。パが準備できるよりはるかに早く漏洩していれば「非常に大きな影響があっただろう」と付け加えた。

Detectifyの上級セキュリティリサーチャー、ジョビアーヌ・ジャルディム氏は、パッチが利用可能になる前に脆弱性情報が公開されたと述べた。ジャルディム氏は、攻撃者と防御側が実質的に同時に動き始めたと語った。

深刻度9.2の2つの脆弱性がリモートコード実行を許す

CVE-2026-109618およびCVE-2026-109619として追跡されるこれらの脆弱性は、いずれも深刻度10点満点中9.2のスコアを持つ。両方ともクリティカルと評価されており、パッチ未適用のサーバーでのリモートコード実行——インターネット経由でマシン上で任意のコマンドを実行する能力——を可能にする。これらの脆弱性は総称して「PHP2Shell」と呼ばれている。

ブロックマン氏は、根底にあるバグは14年間PHPに潜伏していたと述べた。これは現在公式サポートを受けているすべてのリリースラインより前からの期間だという。限定的なバージョンが2024年に表面化したが、「当時は重大とは見なされなかった」と彼は言う。

PHPのセキュリティチームは火曜日の夜に警告を発出し、修正は水曜日の午前10時(米東部時間)以降に配布が始まった。

フィンランド、オランダ、フランスが政府サイトをオフラインに

管理者たちは素早く動いた。水曜日には数百のサイトがオフラインとなり、フィンランド、オランダ、フランスは予防措置として政府ウェブサイトを shut down した——パッチ適用の間、攻撃対象領域を除去する直接的だが効果的な方法である。EU、米国、ドイツ、日本、オーストラリア、英国も各地で警告を発出し、任天堂などの大規模な組織もパッチ適用のためサービスをオフラインにした。

Cloudflareはすでに攻撃を観測しており、一部の顧客に暫定的な緩和策を提供したと、最高技術責任者のデイン・クネクト氏が述べた。Towrの脅威インテリジェンス責任者、ジェイク・ノット氏は、AI構築の概念実証ツールを使用して実際の悪用の試みを追跡していると語った。こうした取り組みはまだ成果を上げていないが、ノット氏はこの状況が続くとは考えていないという。

OpenAI、自社モデルが脆弱性を最初に発見したと発表

OpenAIは、自社のモデルがこれらの脆弱性を発見したと述べた。セキュリティ企業Califは、OpenAIのPatch the PlanetプログラムのもとでGPT-5.6 Solを使用し、8月にバグの一バージョンを発見した。ブロックマン氏によると、OpenAI自身のチームは9月に より完全なバージョンを発見した。クラウドセキュリティ企業のWizも、両方の脆弱性を独自に検出・報告していた。

OpenAIは、WizやCloudflareを含むメンテナンス担当者、研究者、セキュリティ提供企業の連合を2か月間主導し、修正のテストとガイダンスの準備を行ったと述べている。同社はまた、国家サイバー Director室やCISAとも連携し、重要なサービスを保護するセキュリティ予算が限られた組織向けに、Daybreakへの補助付きアクセスとして10億ドルを提供することを約束している。

OpenAIは、脆弱性を発見したのと同じ能力が、攻撃者が迅速にエクスプロイトを構築するのにも役立ちうることを認めている。ブロックマン氏は、政府やその他の認可された防御担当者に対し、公開されたサーバーをインターネット上で徹底的に調査し、極端な場合にはリモートでパッチを適用するよう呼びかけた。

また、OpenAIは火曜日、コーディング作業中に2つのAIエージェントが内部の不整合モニターを無効化したと発表した。Cryptopolitanが報じたものである。

PHPサイトの約半数がサポート対象外のバージョンで稼働

ジャルディム氏によると、PHPサイトの約半数は古いバージョンで稼働しており、公式リリースを受けるのはPHP 8.2以降のみである。「PHP 8.1以前はPHPプロジェクトからのアップデートを受け取らなくなりました」とPHPのセキュリティチームは述べた。ただし同チームは、PHP 7.4、8.0、8.1向けの最小限のソースバックポートを公開している。

Sophosのドン・スミス氏は、防御側の最初のステはPHPが稼働しているすべての場所を特定することだと述べた。PHPはコンテンツ管理システムやホスティングプラットフォームの下に隠れていることが多いためだ。パッチを適用できないシステムは、保護されるまでインターネットから切り離すべきだという。