📡 Signal｜PHP に CVSS 9.2 の脆弱性2件、OpenAI のモデルが発見に関与

ウェブサイトの裏側で広く使われるプログラミング言語 PHP の開発チームは10月21日 (日本時間同日夜)、外部から認証なしでサーバー上のコードを実行されうる脆弱性 2 件を直した修正版 PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開した。深刻度は共通評価 CVSS v4.0 で 2 件とも 9.2 だ。同じ日、OpenAI は自社のモデルがこの欠陥の発見を助けたと公表した。

AI が見つけた欠陥が、世界のウェブの土台になっている言語の一斉更新にまでつながった。OpenAI はこれを、AI がインターネット規模の影響を持つ欠陥を見つける新しい段階だと位置づけている。

2 件の欠陥と、更新しか完全な対策がない理由

PHP の勧告によると、1 件目 (CVE-2026-109618) はメモリ不足の処理に関わる。PHP はメモリが足りなくなると処理を途中で打ち切るが、リクエストのデータが初期化しきれていない瞬間に打ち切られると、壊れた状態のメモリが後片付けの処理で読まれる。勧告は、マルチパート形式の送信で見かけ上の上限内に収まったままメモリを使い切らせる手口を複数挙げ、遠隔からのコード実行につながるとした。

2 件目 (CVE-2026-109619) は、前のリクエストの状態が後のリクエストに残ることに由来する。PHP は同じ作業プロセスで次々にリクエストを処理するが、エラーやセッションの状態が、解放済みのメモリを指したまま残る場合がある。次のリクエストがそれを使うと、解放後のメモリを使う欠陥 (use after free) になり、ここからも遠隔でのコード実行に至りうる。

危険度が最も高いのは、Apache に PHP を組み込む mod_php の構成だと勧告は書く。アプリケーションのコードが動き始める前の段階で、届いたデータの解析だけで条件が成立しうるからだ。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed も影響を受ける構成に挙がった。

開発チームは、更新だけが完全な対策だとしている。メモリの上限設定を変えるなどの暫定策は危険を減らすが、安全にはしない。Linux の配布元や長期サポートの提供者には事前に修正が渡されており、各社のパッケージで更新できる。PHP 8.1 以前は公式の更新の対象外で、7.4・8.0・8.1 向けには最小限の修正の移植が示された。8.2 は2026年12月31日に公式サポートを終える。

2 か月かけた修正と、OpenAI の Patch the Planet

OpenAI の発表によると、同社のモデルは、オープンソースの重要なソフトの脆弱性対策を進める同社の取り組み「Patch the Planet」の中で研究者を助け、PHP の欠陥の発見に関わった。OpenAI は過去 2 か月、PHP の保守担当者や研究者、セキュリティ企業の連合を率いて、公表の前に修正と防御策を用意してきたという。修正は込み入っており、PHP のエンジンの大きな変更が要ったため、それだけの時間がかかったと説明している。

PHP の GitHub の勧告は、報告者として 4 人、修正の担当として PHP の開発者 4 人の名を挙げている。開発チームは20日に、21日14時 (協定世界時) の公開を予告し、詳細が漏れたり攻撃が確認されたりすれば前倒しすると断っていた。

OpenAI は PHP がウェブサイトの推計 7 割で使われているとし、影響の大きさから、近年で最も影響の大きい脆弱性の一つと評した。そのうえで、最先端の AI が攻撃者より先に欠陥を見つけ、守る側に準備の時間を与えた例だと述べ、これを「Defender's Window (守る側の窓)」と呼んだ。

国内でも、同じ日に予防の停止

21日は、国内のネットサービスにも予防の停止が出た。保育施設向けのサービスを運営するコドモンは、保護者向けアプリを含む全サービスを順次止めた。ネットショップの作成サービスを運営する BASE は、15時50分から緊急メンテナンスに入った。両社とも、利用しているソフトウェアに重大な脆弱性が確認されたことを理由に挙げ、不正アクセスや情報漏えいは確認されていないとしている。対象のソフトウェアの名前は、両社の告知では明かされていない。コドモンは、22日の早い時間の再開を見込むと案内した。

発見の速さが、修正の速さを上回る時代

AI がコードを読む速さは、欠陥が見つかる数を押し上げる。攻撃者も同じ道具を使えるので、守る側が持てる時間は、発見から公表までの調整の手際に左右されるようになる。今回は発見から公表まで約 2 か月を調整に充て、配布元には事前に修正を渡し、公開の時刻を予告した。オープンソースの保守を担う少人数のチームが、AI の発見の量にどこまで付いていけるかが、ウェブの安全の新しい制約になる。

確認先は、PHP の公式サイトのニュース欄と、GitHub の 2 件の勧告 (GHSA-w8hw-w9fx-j79w・GHSA-6wmf-4rv5-p3rp) だ。攻撃の実例が確認されれば、勧告と米国の CISA が公開する「悪用が確認された脆弱性」の一覧 (KEV) に載る。国内では、21日に止めたサービスがいつ再開し、原因のソフトウェアを名指しするかを各社の告知で見る。

ことば

• CVSS — 脆弱性の深刻度を 0〜10 で示す共通の評価方式。最新の第 4 版で 9.2 は「緊急」の区分に入る。攻撃の難しさ、認証の要否、被害の範囲などから点を付ける。
• use after free — 解放したメモリを、別の用途に使われた後で再び参照してしまう欠陥。攻撃者がメモリの配置を操ると、任意のコードの実行に使われうる。
• 協調された開示 — 脆弱性を見つけた人が、修正が用意されるまで公表を待ち、開発者と時期を合わせて公開するやり方。配布元に事前に修正を渡すのもその一部。

🔗 一次ソース

• PHP 公式「Security advisory: critical RCE vulnerabilities」(2026年10月21日) — 2 件の欠陥、影響する構成、暫定策、更新が唯一の完全な対策であることを確認php.net
• PHP 公式「Advance notice of a critical security release」(2026年10月20日) — 21日14時 (協定世界時) の公開予告と CVSS v4.0 9.2 を確認php.net
• GitHub 勧告 GHSA-w8hw-w9fx-j79w (CVE-2026-109618・RCE via OOM corruption) — 修正版、CVSS、報告者と修正担当を確認GitHub
• GitHub 勧告 GHSA-6wmf-4rv5-p3rp (CVE-2026-109619・RCE via stale global state)GitHub
• OpenAI 公式 X の告知 (2026年10月21日)
• OpenAI「Coordinated disclosure of critical vulnerabilities」openai.com
• コドモン 緊急メンテナンスのお知らせCoDMON（コドモン）- 保育・教育施設向けICTサービス
• BASE 公式 X の告知 (2026年10月21日・緊急メンテナンスの開始時刻変更)