世界のWebサイトやWebアプリケーションで広く使われるオープンソース言語「PHP」で、深刻な脆弱性2件が見つかった。PHP開発チームは修正版を公開し、米国家安全保障局（NSA）など各国のサイバー当局も速やかな更新を呼びかけている。今回の脆弱性は「PHP2Shell」と呼ばれ、遠隔から任意のコードを実行されるおそれがある。

米CNBCやITmediaなどの報道によると、PHP開発プロジェクトは21日（協定世界時、UTC）、緊急度の高い2件の脆弱性に対応したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。対象はCVE-2026-109618とCVE-2026-109619の2件。

1件は、メモリ不足時に処理が中断され、不完全なデータが正しいデータとして扱われる問題。もう1件は、リクエストが書き込んだメモリの解放後も内部状態が残り、別のリクエストに影響を及ぼす問題とされる。特にApacheのモジュール方式「mod_php」で危険性が高く、認証不要のリクエストだけで攻撃が可能であることが実証されたという。

NSAは現地時間22日、PHPを利用する組織に対し、セキュリティ更新に向けた対応を急ぐよう要請した。攻撃者がサーバのファイルシステムやデータベースに直接アクセスできる可能性があるとして警告している。

直ちに更新できない場合には、対象システムをオフラインに切り替えるよう勧告した。連邦捜査局（FBI）のほか、シンガポール、英国、オーストラリア、カナダ、欧州連合（EU）のサイバー当局も同様の警報を出している。

Amazonは、自社の脅威検知システム「MadPot」によって、脆弱性が公表される前から攻撃の試行を検知していたと明らかにした。一方で、攻撃者が脆弱性の情報をどのように入手したかは確認できていないとしている。

今回の事案は、AIが脆弱性発見に果たした役割でも注目を集めている。OpenAIは、セキュリティ企業Califが同社の「GPT-5.6 Sol」を使い、2件のうち1件を発見したと発表した。

Google傘下のセキュリティ企業Wizは、2件とも独自に発見したと説明している。Wizは「GPT-5.6 Sol」に加え、Googleの「Gemini 4 Argon」、自社AI「Wiz Atlas」を活用したとしている。OpenAIは過去2カ月にわたり、保守担当者とセキュリティ研究者で構成する連合を主導し、修正と事前対応の調整を進めたとしている。

OpenAIは今後数カ月で、AIが発見する脆弱性が急増するとの見通しも示した。その一方で、AIは重大な脆弱性を見つけられる半面、同じ能力が攻撃ツールの開発を後押しする可能性もあると警告した。

今回は、AIが攻撃者に先んじて脆弱性を発見し、対応時間の確保につながったと評価している。OpenAIは、脆弱性の検証からパッチ適用後の配布支援までを含む5段階の対応体制も提案した。

日本では、Codomon、BASE、Cygames、pixivなどが予防措置としてサービスを一時停止した。タカイチ・サナエも自身のXアカウントで更新を呼びかけた。PHP開発チームは「完全な緩和策はなく、更新が唯一安全な選択だ」と強調している。