2026 年 10 月 21 日、世界中のウェブサイトで広く使われているプログラミング言語 PHP に、深刻なセキュリティ上の欠陥が見つかり、緊急の修正プログラムが公開されました。「PHP2Shell」と呼ばれるこの脆弱性は、悪意ある第三者がパスワードなどの認証を一切必要とせず、インターネット越しにサーバーを乗っ取れるというもので、危険度の指標である CVSS スコアは最大 10 点中 9.2 と極めて高い評価を受けています。
この問題が特に厄介なのは、個別のウェブアプリケーションではなく PHP の基盤部分に欠陥があることです。つまり、自社で開発・運用しているシステムのコードに問題がなくても、 PHP を使っているだけで攻撃を受けるリスクがあります。過去 10 年以上にわたってリリースされた PHP 5.4 以降のバージョンが対象で、今回修正が提供されたのは PHP 8.2 〜 8.5 の最新版のみです。それ以前のバージョンを使い続けている場合、公式の対応策はなく、早急なアップグレードが求められます。
この脆弱性を発見したのは、セキュリティ研究者の Ryan Austin 氏とクラウドセキュリティ企業 Wiz のチームです。両者とも OpenAI の AI モデル「GPT-5.6 Sol」を活用しており、 AI がサイバーセキュリティ分野で実用的な成果をあげた事例として注目を集めています。発見は 2026 年 8 月 19 日で、その後約 2 か月にわたって関係者が連携して修正と公開の準備を進めてきました。
パッチ公開と同日、米国の NSA と CISA は即時の対応を求める勧告を発令しました。すぐに対処できない場合は該当システムをインターネットから切り離すよう強く求めており、欧州の CERT-EU や英国の NCSC も同様の立場をとっています。
一方、今回の公開プロセスでは混乱も生じました。通常、重大な脆弱性が発見された場合、関係者は修正プログラムの準備が整うまで情報を公開しない「エンバーゴ」と呼ばれる取り決めを結びます。しかし今回、セキュリティ企業 Chainguard が正式リリースの 6 時間以上前に修正済みのソフトウェアを独自に公開してしまいました。これにより、攻撃者が修正内容を解析して逆に攻撃手法を特定できる状態が生まれたとして、 PHP ファウンデーションから強く批判されています。 Chainguard 側は「すでに攻撃が始まっていたため配布を判断した」と説明していますが、その主張を裏付けるように、 Amazon の調査では一般公開の 4 日前にあたる 10 月 17 日の時点で、意図的に攻撃を誘い込むために設置した監視用サーバーがすでに不審なアクセスを検知していたことが明らかになっています。
公開後は攻撃の試みが急増し、 Cloudflare の CEO Matthew Prince 氏は数百万回のアクセスが確認されたと報告しています。一部のウェブサービスは念のためシステムを一時停止する対応をとりました。
今回の件は、 AI がセキュリティ上の問題を早期に発見できる反面、同じ技術が攻撃側にも使われうるという現実を改めて示しています。 PHP を使ったシステムを運用している企業や担当者は、バージョンを確認し、速やかにアップデートを行うことが求められます。
