AIが見つけたPHPの脆弱性、修正は誰の仕事か — レンタルサーバーとVPSの分かれ目

何が起きたの?

PHPは、ウェブサイトを動かすプログラミング言語です。WordPressもPHPで動いています。脆弱性を見つけた米Wizは、世界のウェブサイトの70%がPHPで動いていると説明しています。

10月21日、PHPの開発元は修正版の8.2.35、8.3.36、8.4.27、8.5.12を公開しました。対象は、CVE-2026-109618とCVE-2026-109619の2件の脆弱性です。開発元は、完全な回避策は無く、更新だけが安全な選択だとしています。

情報処理推進機構(IPA)によると、2件はメモリ不足のエラー処理と、リクエストの処理に関わる脆弱性です。組み合わせて悪用されると、遠隔の第三者に任意のコードを実行されるおそれがあります。この組み合わせはPHP2shellと呼ばれています。

Wizは、WordPress、Drupal、Joomlaで、ログインなしにコードを実行できることを実証しました。メモリを読み取られ、パスワードやAPIキーが漏れるおそれもあると説明しています。深刻度の評価(CVSS)は9.2です。Wizによれば、PHP 5.4以降の版は、少なくとも一方の影響を受けます。

10月26日(現地時間)、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、2件を「悪用された脆弱性」の一覧(KEVカタログ)に載せました。IPAは、国内での攻撃被害の事例は把握していないとしています。

IPAは11月2日、PHPはVPN機器やセキュリティ製品のウェブ画面など、さまざまなところで使われていると追記しました。こうした製品は、開発元が出す脆弱性の情報を見て、更新が出たら適用するよう求めています。

AIは脆弱性探しをどう変えたの?

Wizは8月19日に脆弱性を見つけ、8月24日にPHPのセキュリティチームへ報告しました。調査には、自社のWiz Atlasのほか、GoogleのGemini 4 Argon、OpenAIのGPT-5.6 Solを使ったとしています。

AIが単独で見つけたわけではありません。複数の不具合をつなげる作業や、対象ごとのメモリ配置に合わせる作業は、研究者がテストとデバッグを繰り返して進めました。

CNNによると、同時に発表したOpenAI、Wiz、セキュリティ企業のCalifは、いずれもAIを使って脆弱性を見つけました。Wizは、かつて世界レベルのチームが何カ月もかけた調査を、研究者1人が1週間で終えられたと説明しています。

米国家安全保障局(NSA)は、PHPを使っている場合は更新し、更新できない場合はインターネットから切り離すよう呼びかけました(CNN)。

レンタルサーバーとVPSで、何が違うの?

さくらインターネットは、修正版の公開に先立つ10月21日22時30分から、一部のサービスで予防的な緊急メンテナンスを始めました。10月23日17時30分の追記では、緊急メンテナンスはすべて終了したとしています。

さくらのレンタルサーバについては、提供しているPHPに必要な修正を適用したと説明しています。サポートを終えたPHPのうち、さくらが提供している版にも修正を当てました。ただし古い版は今後も新しい脆弱性が見つかるおそれがあるため、最新のサポート対象の版を使うよう勧めています。

さくらのVPSは、サービスを提供する部分ではPHPを使っておらず、影響は無いとしています。一方で、利用者のVPSの中でPHPが動いている場合は、最新版への更新を推奨しています。OSやソフトウェアを自分で管理するサービスでは、利用者が状況を確かめ、速やかに更新するよう求めています。

IPAは、PHP 8.1以前はサポートが終わっており、今回の修正が提供されないと注意しています。レンタルサーバーなら事業者が古い版にも手当てをした今回の件でも、VPSで古い版を使い続けていれば、公式の修正は届きません。

なお、さくらが「修正を適用した」と書いているのは、さくらが提供するPHPです。その上で自社が動かしているWordPressやプラグインは、今回の告知の範囲に入っていません。

さくらは、10月23日17時の時点で、この脆弱性を悪用した不正アクセスや情報漏えいの被害は報告されていないとしています。

SYNCONの視点 — 修正の速さは、契約の形で決まる

AIを使えば、少人数でも短い期間で脆弱性を探せるようになりました。同じ道具は、守る側だけでなく攻める側も使えます。修正版の公開から攻撃が始まるまでの時間は、これから短くなっていくと見ておくべきでしょう。

そのとき効いてくるのが、修正を誰が当てるかです。レンタルサーバーなら、事業者の対応の速さに乗れます。今回のさくらは、修正版の公開前から動いていました。VPSやクラウドで自社が管理するサーバーは、自社の担当者が動かない限り、脆弱性は開いたままです。

月曜にできることは3つです。自社のサイトとシステムを、レンタルサーバーかVPS・クラウドかで一覧にする。VPS・クラウドの分は、OSとPHPの更新の担当者と、修正版の公開から何日以内に当てるかを決める。保守を外部に任せているなら、契約がその作業を含むか確かめる。IPAも、事業責任者や経営層を含めて、人員・予算・保守体制を確保できるか検討するよう求めています。

未確認の点:今回の脆弱性を、攻撃する側がAIを使って悪用したかどうかは、確認できた発表には書かれていません。KEVカタログへの掲載は悪用があったことを示しますが、国内の被害はIPAも把握していないとしています。