答え公開済み28 ソース
PHP2Shellが示す、AIによる脆弱性発見と「修正まで」の課題
PHP2Shellは、いずれもCVSS 9.2と評価されたPHPの脆弱性2件。2026年10月21日に修正版が公開されました。 OpenAIによると、CalifはGPT 5.6 Solを使って重大な欠陥を発見し、Wizも独立して両方の脆弱性を発見・報告。開示前の対応には2カ月を要しました。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- PHP2Shellは、いずれもCVSS 9.2と評価されたPHPの脆弱性2件。2026年10月21日に修正版が公開されました。
- OpenAIによると、CalifはGPT 5.6 Solを使って重大な欠陥を発見し、Wizも独立して両方の脆弱性を発見・報告。開示前の対応には2カ月を要しました。
- Amazonは公開4日前の10月17日に攻撃の試みを検知したと報告しています。ただし、これは試行の検知であり、サーバー侵害が成功した証拠ではありません。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shellは、PHPの中核部分で見つかった重大な脆弱性2件につけられた呼び名です。2026年10月21日に緊急修正版が公開されました。OpenAIの説明によれば、これはAIが脆弱性を発見しただけの話ではありません。公開前の修正と防御策の準備に、メンテナー、研究者、セキュリティ企業が2カ月にわたって取り組みました。18
この事例が浮き彫りにしたのは、脆弱性を見つけることと、利用者を守ることの間には大きな隔たりがあるという点です。発見を確かな修正に結びつけ、影響を受ける組織が適用できるようにする——その一連の対応が問われています。
何が見つかり、AIは何を担ったのか
対象となったのは、CVE-2026-109618とCVE-2026-109619の2件です。どちらもCVSS 9.2と評価され、研究者はWordPress、Drupal、Joomlaの環境で、認証なしに遠隔からコードを実行できることや、メモリー情報を読み出せることを実証しました。3
4 報告されている影響範囲は、PHP 5.4からPHP 8.5までです。
1
原因はPHPのメモリー処理にありました。1件はメモリー不足時の処理に関係し、もう1件はリクエストをまたいで古い状態が残り、解放済みメモリーを使ってしまう問題と報告されています。3
9 つまり、特定のウェブサイトアプリケーションだけの欠陥ではなく、多くのアプリケーションを動かす基盤であるPHPそのものに問題がありました。
3
4
OpenAIによると、同社の「Patch the Planet」施策の一環として、CalifがGPT-5.6 Solを使って重大な欠陥を発見しました。また、Wizも独立して2件の脆弱性を発見し、報告したとしています。18 Wizの発表や関連報道では、Wiz Atlas、Gemini 4 Argon、GPT-5.6 Solも研究に使われたとされています。
4
33 ただし、利用可能な説明だけでは、各モデルがどの作業を担ったかを明確に切り分けられません。特に、攻撃の検証や修正の確認にGeminiがどう関与したかまでは確定できません。
PHP Foundationの発表を参照した二次資料には、Califが8月11日、Wizが8月24日、OpenAIが9月18日にPHP側へ報告したとあります。6 これは報告日として記載された日付であり、各チームが脆弱性を最初に発見した日と同じとは限りません。
公開前の連携と、予定より早まった修正公開
OpenAIは、修正や防御策を公開前に用意するため、メンテナー、研究者、セキュリティ企業などと2カ月にわたり連携したと説明しています。18 修正とリリースはPHPのメンテナーが主導し、研究・セキュリティ面の支援や調整を各パートナーが担いました。
18
修正版は当初の予定より1日早い10月21日に公開されました。14 報道によれば、情報の漏えいや修正版を含むコンテナイメージの先行公開を受けて、公開日程が前倒しされました。PHP FoundationはChainguardが公開時期の取り決めを破ったと批判していますが、これは財団側の主張として伝えられているもので、入手できる報道だけから独立した事実認定がなされたとは言えません。
6
35
38
ここには、協調的な脆弱性開示の難しさがあります。技術情報を伏せておけば、開発者や配布事業者は修正を準備する時間を得られます。一方で、攻撃がすでに起きている場合や情報が漏れた場合には、公開を待つこと自体が利用者のリスクになり得ます。報道で紹介されたOpenAIの対応案は、問題の確認と修正、配布事業者への準備期間、政府機関との連携、対象組織への通知拡大、一般向けの案内という段階的なものです。攻撃や情報漏えいが確認された場合には、日程を短縮する必要もあるとされています。37
41
攻撃の試みは報告されたが、侵害の成功は別問題
Amazonは、同社の脅威検知システムMadPotが10月17日にPHP2Shellを悪用しようとする試みを検知したと発表しました。一般公開の4日前にあたります。また、修正版の公開後には、より広い範囲で攻撃が試みられたとの報道もあります。5 ただし、攻撃の試みが観測されたことは、サーバーへの侵入成功を意味しません。攻撃者が公開前に脆弱性を知った経緯や、侵害されたサーバー数も、利用可能な報道からは確認できません。
Palo Alto Networksは、PHP2Shellの影響を受ける可能性があるインターネット公開インスタンスを2,260万件以上確認したと報じられています。53 これは「影響を受ける可能性がある」環境の推計であり、実際に悪用可能だったり、侵害されたりしたシステムの数ではありません。
当局は組織に迅速な対応を促しており、ある報道では、早急に保護できない場合はシステムをオフラインにするよう勧告したとされています。56 Cloudflareは、自社のWAF（Webアプリケーションファイアウォール）を利用する顧客向けに、一般公開前から防御策を導入したと発表しました。
12 こうした対策はパッチ適用を補うものです。PHPの利用状況とバージョンを確認し、影響を受ける環境を更新する必要があります。
修正版として報告されているPHPのバージョンは、8.2.35、8.3.36、8.4.27、8.5.12です。8 パッケージ版は提供元によってバージョン表記が異なる場合があるため、運用者は利用しているPHPの配布元とバージョンを確認してください。
8
発見の速さに、修正を届ける力が追いつくか
OpenAIは、セキュリティ担当者向けプログラム「Daybreak」を通じて、利用料10億ドル分の補助を提供する方針も示しました。セキュリティ資源が限られ、重要なサービスを守る組織を重点的に支援するとしています。25 これは防御側がツールを使うための支援ですが、PHP2Shellの事例はもう一つの課題も示しました。ソフトウェアのエコシステム全体で修正を用意し、周知し、実際に適用する体制が必要だということです。
AIを活用した研究は、脆弱性の発見を後押しする可能性があります。一方で、何が見つかったのか、どのツールが貢献したのか、攻撃が成功したのかという点は、出どころと証拠を分けて慎重に確認しなければなりません。PHP2Shellから読み取れるのは、発見によって防御側に貴重な準備時間が生まれても、その時間を生かせるかどうかは、メンテナー、提供事業者、運用者が修正を届け、適用できるかにかかっているということです。
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「PHP2Shellが示す、AIによる脆弱性発見と「修正まで」の課題」の短い答えは何ですか?
PHP2Shellは、いずれもCVSS 9.2と評価されたPHPの脆弱性2件。2026年10月21日に修正版が公開されました。
最初に検証する重要なポイントは何ですか?
PHP2Shellは、いずれもCVSS 9.2と評価されたPHPの脆弱性2件。2026年10月21日に修正版が公開されました。 OpenAIによると、CalifはGPT 5.6 Solを使って重大な欠陥を発見し、Wizも独立して両方の脆弱性を発見・報告。開示前の対応には2カ月を要しました。
次の実践では何をすればいいでしょうか？
Amazonは公開4日前の10月17日に攻撃の試みを検知したと報告しています。ただし、これは試行の検知であり、サーバー侵害が成功した証拠ではありません。