公開：2026年10月24日, 最終更新：2026年10月24日
AIを活用したセキュリティ調査により、PHPプログラミング言語に「重大な脆弱性」2件が発見され、4chan・DeviantArt・Wikipediaなど世界中の主要サイトが影響を受けたと、The Vergeが報じた。
30秒サマリー
- AIがPHPの約20年前から存在した脆弱性2件を発見し、世界規模のサイト障害が発生
- 認証なしでサーバーを完全掌握できる「リモートコード実行」が可能になる深刻な問題
- NSAや英NCSCが即時更新できない場合のオフライン化を推奨、PHP 8.1以前には公式修正なし
PHP重大脆弱性の発見経緯と影響範囲
セキュリティグループのCalifがGPT-5.6 Solを用いてPHPの重大な欠陥を発見し、Google傘下のWizも独自にAIを活用して同脆弱性を発見・報告した。PHPはW3Techsの調査によれば、サーバーサイドのプログラミング言語が判明しているウェブサイトの69.3%で使用されており、WordPressやWikipediaを含む膨大な数のサイトが対象となる。
発見された脆弱性は2件（CVE-2026-109618・CVE-2026-109619）で、いずれも認証不要のリモートコード実行（RCE）を可能にする。攻撃者はパスワードやAPIキー、暗号証明書、機密データベースへのアクセスのほか、サーバー上での任意コード実行や、侵害したサーバーを踏み台にした連鎖攻撃が可能になる。Wiz社はこれを「ソフトウェアの歴史上最も深刻な脆弱性の一つ」と評した。
この脆弱性自体は約20年前から潜在していたが、セキュリティ企業Wizによれば「人間の研究者が現実的に達成できる限界に近い、非常に複雑な手順の連鎖が必要だった」という。しかしAIの高度化により、公開された現在は意図を持つ攻撃者が比較的容易に悪用できる状態にあると報じられている。
オランダおよびフィンランドの一部政府機関は予防措置としてサイトを停止。米NSAのサイバーセキュリティ部門と英国国家サイバーセキュリティセンター（NCSC）は、即時更新が困難な場合はシステムをオフラインにするよう推奨した。CloudflareのCTOも「初期の攻撃が観測され始めている」と述べた。
2026年10月に発見されたPHPの重大脆弱性の概要
- 影響を受けるPHP使用サイトの割合：サーバーサイド言語が判明しているウェブサイトの69.3%（W3Techs調査）
- VirusTotal登録済みのPHP稼働サイト数：約380万サイト（少なくとも1ポートが開放）
- 脆弱性1（CVE番号）：CVE-2026-109618（GHSA-w8hw-w9fx-j79w）— OOMメモリ破損によるRCE
- 脆弱性2（CVE番号）：CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）— 古いグローバル状態によるRCE
- 脆弱性の潜伏期間：約20年
- 公式修正が提供されないバージョン：PHP 8.1以前（サポート終了のため修正なし）
- AI発見に使用されたツール：GPT-5.6 Sol（Calif）、AIツール（Wiz）
- 脆弱性の深刻度評価：「重大（critical）」——OpenAIは「近年最もインパクトの大きいセキュリティ問題の一つ」と評価
出典: The Verge（報道）
なぜ重要か（編集部の分析）
【編集部の分析】AIが攻撃者だけでなく防御側にも活用されている転換点を象徴する事案だが、今回は「防御側がAIで発見した脆弱性が、公開後に攻撃側にも即座に利用できる状態になる」という両刃の剣の現実を示す。20年間見落とされてきたバグがAIの登場で一気に危険な武器に転化するパターンは今後も繰り返される可能性が高く、パッチ適用速度と検知体制の整備が企業の命運を左右する時代に入っている。
日本企業への示唆（編集部の分析）
【編集部の分析】PHPはWordPressをはじめとするCMSの基盤として日本企業の自社サイト・ECサイト・社内ポータルに広く使われている。今回のような「AIが古い脆弱性を武器化する」シナリオは今後も反復されると考えるべきで、（1）自社サービスのPHPバージョン即確認・更新、（2）PHP 8.1以前を使用している場合の早急なバージョンアップまたはサービス一時停止の判断、（3）ホスティング事業者へのパッチ適用スケジュールの確認——の三点を今すぐ経営レベルで指示することが求められる。機密データや決済情報を扱うサーバーはホスト側の修正完了まで停止を検討することが望ましい。
背景・経緯
PHPは1990年代から存在するサーバーサイドのプログラミング言語で、WordPressなど世界中のCMSの基盤として普及している。今回の脆弱性は2024年時点でPHP Foundationが理論的な悪用を「想定」していたが、具体的な攻撃経路は見つかっておらず、他の問題に優先度が埋もれていた経緯がある。AIを活用したセキュリティ調査の高度化により、従来は人間の研究者が現実的に到達困難だった複雑な脆弱性の解析・実証が容易になりつつあり、今回の発見はその象徴的な事例とみられる。
2026年10月に発見されたPHPの重大脆弱性についてよくある質問
Q. PHPの脆弱性に対してウェブサイト管理者がまず取るべき対応は？
A. GoDaddyはPHPを使用しているすべてのサイトは影響を受けると想定し、修正済みリリースへの早急なアップデートを推奨している。PHP 8.1以前のバージョンは公式修正が提供されないため、新しいバージョンへのアップグレードが必要。managed hostingを利用している場合はプロバイダーに修正の展開スケジュールを確認することが推奨されている。
Q. 今回のPHP脆弱性はどのようなAIが発見したのか？
A. OpenAIによれば、AIセキュリティグループのCalifがGPT-5.6 Solを使用して脆弱性を発見した。またGoogle傘下のWizも独自にAIを活用して同脆弱性を発見・報告したとされている。
Q. PHPの脆弱性はSquarespaceやWixなどのウェブサービス利用者にも影響するか？
A. 原文によれば、SquarespaceやWixはPHPをサポートしていないため、これらのサービス利用者は影響を受けない。一方、Hostinger・GoDaddy・Bluehostなどのウェブホスティングサービスの顧客はより注意が必要とされている。
