AIニュース · PHP · セキュリティ
PHPの脆弱性、発見にAIが貢献：サイト停止の事態に
GPT-5.6 SolとGemini 4 Argonを使った研究者らが、第三者がPHPサーバー上でコードを実行できる2件のバグを発見しました。関係機関は、未対応のサイトにオフライン化を呼びかけています。
世界のWebサイトの多くを支えるプログラミング言語PHPが、2026年10月21日（水）に緊急の修正版を公開しました。条件が整えば、2件の脆弱性はいずれも、第三者がログインなしでPHPサーバーを乗っ取れるものだとPHP Foundationは説明しています。更新版8.2.35、8.3.36、8.4.27、8.5.12で修正されます。
発見の大部分はAIによるものです。セキュリティ企業のCalifは8月、OpenAIのGPT-5.6 Solで最初のバグにたどり着いたとFortuneが報じています。Google傘下のWizも同月内に独自に発見しており、自社のWiz AtlasにGPT-5.6 Sol、GoogleのGemini 4 Argonを組み合わせました。OpenAIはこの2件を「近年で最も影響の大きいセキュリティ問題の一つ」と呼んでいます。一方の脆弱性の根本原因は2024年の監査で浮上していたものの、修正が滞り続けていたと財団は説明しています。
公開は1日早まりました。脆弱性のID番号が10月20日にネット上で流出し、Chainguardが合意した時刻より6時間以上前にパッチ適用済みソフトウェアを公開したと財団は説明しています。
The Vergeが引用するWebサーベイ会社W3Techsによると、サーバー言語を判別できるサイトの69.3%でPHPが使われています。フィンランドとオランダの政府機関は、予防措置として自らのサイトを停止しました。すぐに修正を適用できない場合は、サイトをオフラインにするよう、NSA（米国家安全保障局）と英国のNational Cyber Security Centreは呼びかけています。PHP 8.1以前のバージョンには修正が出ません。
ショップやブログをWordPressなどPHPのホスティングで運営している場合、リスクの大きさはPHPのバージョンで決まります。
