OpenAIのAIを使った研究者とWizが発見・報告したPHPの重大脆弱性。ログインなしでサーバーが不正操作されるおそれがあり、PHP開発チームは緊急修正版を公開した。図解とともに仕組み、私たちへの影響、企業が確認すべき対策を解説する。
30秒でわかる / THE SIGNAL
PHP本体に認証なしのリモートコード実行につながる重大な脆弱性が2件見つかった。OpenAIのAIを使った研究者とWizが発見に関与。PHP公式は10月21日に修正版を公開し、利用者に速やかな更新を求めている。自社サイトのPHP利用状況と保守担当者を確認したい。
なぜ今、緊急メンテナンスが必要なのか
2026年10月21日、PHP開発チームは、ログインしていない攻撃者によるリモートコード実行につながり得る重大な脆弱性2件を公表し、緊急修正版を公開した。PHPはWordPressなど多くのWebサイトや業務システムの裏側で使われているため、管理者は自社環境の確認と更新を急ぐ必要がある。
問題はWebページの見た目ではなく、PHP本体の内部処理にある。サイトが普段どおり表示されていても、未修正のPHPが動いている可能性がある。PHP開発チームは完全な緩和策はなく、更新が安全な対応だとしている。
なお、世界中のすべてのサイトで緊急メンテナンスが実施されているという意味ではない。影響を受ける環境の運営者や提供会社が、それぞれ更新・点検を進める必要がある。
AIはどう発見に関わった？
OpenAIの2026年10月21日付発表によれば、セキュリティ研究組織CalifがOpenAIのGPT-5.6 Solを用いて重大な欠陥を発見した。セキュリティ企業Wizも独立して2件の脆弱性を発見・報告した。したがって『OpenAIが単独で2件を発見した』という説明は正確ではない。
修正と公開はPHPの開発・保守チームが主導し、OpenAI、Wiz、Cloudflareなどが調査や事前準備、関係者間の調整に協力した。OpenAIによると、問題の発見から公開までの対応には約2か月の調整期間があった。
一次情報：OpenAI https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
技術解説｜2つの脆弱性の違い
CVE-2026-109618は、メモリ不足（OOM）の処理中に、PHPがリクエスト内部データを準備しきる前に処理が中断され、後片付けで不正なデータを正常なものとして扱ってしまう問題だ。
CVE-2026-109619は、あるリクエストで使った内部状態が、対応するメモリを解放した後も残り、同じ処理プロセスが次のリクエストを扱う際に古い状態を参照してしまう問題だ。
どちらもメモリ管理上の欠陥を悪用されると、条件によって認証なしでサーバー上の不正なコード実行につながる可能性がある。PHP開発チームは、特にApacheのmod_php環境で、アプリケーションのコードが実行される前に攻撃が成立する実証例があるとしている。PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境も確認対象だ。
図解｜何が起きるのか？
攻撃者が特殊な通信を送ると、PHPの内部でメモリ処理の不具合が発生する場合がある。悪用に成功すれば、サーバー上で意図しないプログラムが動き、情報漏えいやサイト改ざん、サーバーの悪用につながるおそれがある。
下の図は専門用語を省いた概念図であり、すべての環境で攻撃が成立するという意味ではない。
私たちの仕事と生活への影響
企業のホームページ、ECサイト、予約サービス、会員管理サイトなどがPHPを利用していれば、今回の修正状況を確認する必要がある。影響は『自社がPHPでシステムを開発したか』だけでは判断できない。制作会社やレンタルサーバー事業者がPHPを管理している場合もあるからだ。
利用者にとっては、運営者が安全のため一時的にサービスを停止したり、更新後の動作確認を行ったりする可能性がある。一方、PHPを利用するサイトがすべて攻撃を受けた、あるいはすべての利用者の情報が漏えいしたという事実は確認されていない。
企業担当者が今日確認したいこと
まず、自社のサイト・業務システムがPHPを使っているか、誰が管理しているかを確認する。使用している場合は、適用されている修正パッケージと更新予定を確認し、更新後の表示・フォーム・決済・ログインなどの動作テストを実施する。公開サーバーのアクセスログや異常な挙動の確認も重要だ。
PHP公式の修正版は8.5.12、8.4.27、8.3.36、8.2.35。PHP 8.1以前はPHPプロジェクトの通常サポート対象外だが、Linuxディストリビューションや長期保守事業者が独自の修正を提供している場合がある。単純にバージョン番号だけで判断せず、提供元の修正適用状況を確認したい。
更新できない場合の一時的な緩和策も公式に案内されているが、完全な解決策ではない。設定変更は副作用があり得るため、管理者・提供事業者と相談して進める。
一次情報：PHP公式セキュリティ勧告 https://www.php.net/archive/2026.php#2026-10-21-5
WORK SIGNALの視点｜AIが見つける時代、守る側の速度も問われる
今回の出来事は、AIがセキュリティ研究者の脆弱性発見を支援し、開発・保守チームと協力して修正につなげた事例だ。同時に、同種の能力が攻撃側に利用される可能性も示している。
企業に必要なのは、脆弱性の技術的な仕組みをすべて理解することではない。『自社のシステムを誰が管理し、緊急更新の連絡を誰が受け、いつまでに対応できるか』という体制を整えることだ。ホームページを作ったまま放置しない。今回の緊急更新は、その基本を見直すきっかけになる。
一次情報：OpenAI https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ 一次情報：PHP https://www.php.net/archive/2026.php#2026-10-21-5