速報：PHPに「緊急」の脆弱性2件、修正版を公開　認証なしで遠隔操作のおそれ　発見にはOpenAIやGoogleのAIを使用

Webサイトを作るためのプログラミング言語「PHP」の開発チームは2026年10月21日、重大な脆弱性2件を直した修正版 PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。どちらも認証なしで遠隔からコードを実行されるおそれがあり、深刻度の指標 CVSS v4.0 では 9.2 と評価されています。PHPはWordPress、Drupal、MediaWiki などを動かしている言語です。

見つけたのはセキュリティ企業のCalifとWizです。Califは、OpenAIの「Patch the Planet」の取り組みに招かれて調べたとしています。ITmedia NEWSによると、OpenAIは2件のうち1件をCalifが同社の「GPT-5.6 Sol」で見つけたと発表し、今後数カ月でAIによる同様の発見が急増すると予測しています。Wizは調査に自社の Wiz Atlas と Googleの「Gemini 4 Argon」、GPT-5.6 Sol を使ったとし、2026年8月24日にPHPのセキュリティチームへ報告していました。

何が変わるか： Wizによると、過去10年に出たすべてのバージョン（さかのぼると 5.4）が少なくとも1件の影響を受けます。WordPress、Drupal、Joomla でログイン前に遠隔からコードを実行でき、メモリからパスワードやAPIキーなどを読み取れることも確かめています。Califは、初期設定のままで常に悪用できるとしています。PHPの開発チームは、完全な緩和策はなく、更新だけが安全な選択肢だとしています。

誰に効くか： PHPで動くWebサイトを運営している会社や個人。PHP 8.1 以前は開発チームからの更新が止まっています。開発チームは、Linux ディストリビューションなどの提供元には事前に修正を渡しており、更新済みのパッケージを提供元に確認するよう呼びかけています。

出典：PHP、Wiz、Calif、ITmedia NEWS