米政府は、Web開発言語PHPで見つかった深刻な脆弱性2件について、実際の攻撃で悪用されていることを確認した。認証なしでサーバ上で任意のコードが遠隔実行される恐れがあり、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は連邦民間機関に対し、29日までにパッチを適用するよう指示した。

TechCrunchの報道によると、CISAは27日（現地時間）、この2件の脆弱性を「PHP2Shell」として、Known Exploited Vulnerabilities（KEV）カタログに追加した。対象となるのは、実際に悪用が確認された脆弱性への対応を各機関に求める措置だ。

対象の脆弱性は「CVE-2026-109618」と「CVE-2026-109619」。いずれも認証を経ることなく、脆弱なサーバ上で任意のコードが遠隔実行される恐れがある。PHPは世界中のWebサイトで広く使われており、悪用が広がれば大規模なサービス障害や情報漏えいにつながる可能性がある。

PHP開発チームは21日、これらの脆弱性を修正するセキュリティアップデートを公開した。その後、実際の攻撃事例が確認され、政府機関や企業の対応が加速した。一部の機関や大企業では、パッチ適用のためWebサイトを一時停止する動きも出ている。

今回の問題は、長年にわたり十分に解消されてこなかったセキュリティ上の課題に起因するとされる。2024年のセキュリティ監査で関連する脆弱性は見つかっていたが、当時は実用的な悪用手法が確認できず、修正は見送られていたという。

状況が一変したのは今年に入ってからだ。セキュリティ企業Kalifの研究チームは、AIモデルを活用して既存の欠陥を組み合わせることで遠隔コード実行に成功し、その内容をPHP開発チームに報告した。

その後、セキュリティ研究者が構築した攻撃観測用サーバでも、遠隔コード実行の痕跡が確認された。CISAは現時点で、攻撃主体や被害組織などの詳細は明らかにしていない。

セキュリティ業界では今回の事案について、AIの進展によって従来は悪用が難しかった脆弱性まで現実的な脅威になり得ることを示したとの受け止めが広がっている。人材や予算が限られがちなオープンソースプロジェクトのセキュリティ管理にも、改めて注目が集まっている。

PHP開発チームは利用者に対し、8.5.12、8.4.27、8.3.36、8.2.35など、修正済みバージョンへ直ちに更新するよう呼びかけている。