PHPの重大脆弱性「PHP2Shell」はセキュリティ企業のCalifとWizがAIを用いて発見しOpenAIの枠組みを使って対策したことが判明

プログラミング言語のPHPに「PHP2Shell」と呼ばれる重大な脆弱性が見つかり、緊急アップデートがリリースされました。「PHP2Shell」の2つの脆弱性は、セキュリティ企業のCalifとWizがそれぞれ独立して2026年8月に発見していたことが報告されています。

PHP2Shell — AI uncovers critical vulnerabilities in the backbone of the web
https://www.php2shell.com/

PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog
https://www.wiz.io/blog/php2shell-php-rce

Patch the Planet: global response coordination as agents uncover critical vulnerabilities | OpenAI
https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/

php2shell by Calif Research
https://calif.io/php2shell/

「PHP2Shell」はCVE-2026-109618、CVE-2026-109619の2つの脆弱性を指します。悪用されると攻撃者によってサーバーが乗っ取られ、機密データが盗み出されたり、サーバー上で稼働しているウェブサイトが改変されたりする可能性があるという重大な脆弱性で、PHPは日本時間の2026年10月21日深夜に緊急アップデートをリリースしました。

PHPが緊急アップデート「8.5.12」「8.4.27」「8.3.36」「8.2.35」をリリース - GIGAZINE

セキュリティ企業のCalifによると、OpenAIが2026年6月に発表したセキュリティイニシアチブ「Patch the Planet」の一環として、1つ目の脆弱性を2026年8月1日に発見し、8月11日にPHPに報告。さらに、8月21日に2つ目の脆弱性を発見しています。

Google傘下のAIプラットフォーム・Wizは、Califの動きとは独立して2026年8月19日に脆弱性を発見。24日に脆弱性をPHPに報告したとのこと。

Calif、WizはOpenAIのCodex Securityチーム、PHPのセキュリティチーム、Google Geminiチームと協力して、脆弱性の発見と対応の調整、パッチの検証を行いました。

その間、Google Cloud、Cloudflare、AWS、Microsoft、Automattic、Fastly、Akamai、Imperva、Vercel、およびその他の業界パートナーは、ただちにPHPを更新できない組織向けのガイダンスや検知手法、一時的な緩和策の準備を助けたとのことです。

CalifはNginxに対して実行されるエクスプロイトの実証デモ動画を公開しています。

php2shell PHP-FPM exploit - phpMyAdmin, WordPress, and phpbleed - YouTube