更新日：2026-10-23.
セキュリティ研究者は、ウェブサーバー上で遠隔からコマンドを実行される可能性がある二件の重大なPHP脆弱性を発見しました。人工知能（AI）が欠陥の特定と深刻度の検証で重要な役割を果たしました。世界各地の数十社や政府のサービスが、セキュリティパッチ適用のために一時的にウェブサイトを停止しました。なおCloudflareは既に数百万回におよぶ脆弱性悪用の試行を記録しており、その件数はさらに増加する見込みです.
Cloudflareが数百万件の攻撃試行を記録——複数国で数十のウェブサイトが一時停止
2026-10-21に、複数国の政府サイトやオンラインサービスが緊急措置として稼働を停止し始めました。原因は、世界の約70％のウェブサイトで使用されるプログラミング言語、PHPに存在する二件の重大な脆弱性でした。これらの脆弱性は、CVE-2026-109618およびCVE-2026-109619として識別され、総称してPHP2Shell（PHP2Shell）と呼ばれ、特定条件下で攻撃者がサーバー上で悪意あるコードを遠隔実行できる可能性があります.
オランダでは政府のeサービスポータルが一時利用不能になり、フィンランドのいくつかの政府機関のサービスも影響を受けました。フランス、ドイツ、ベルギーなどでも同様の対策が取られ、病院や教育機関、民間企業のウェブサイトにも停止が及びました。
組織は、セキュリティ更新が適用されるまで潜在的な攻撃から保護するためにウェブサイトへのアクセスを制限しました。その懸念は正当で、公開前からサイバー犯罪者が既に脆弱性の悪用を試みていました。公式発表の10時間前に、Cloudflareは既に数千件の悪用試行を記録していました。公開後、悪意ある活動は急増し、最初の45分で数万件、2時間後には数十万件に達しました。2026-10-22までに数百万件の悪用試行が記録されています.
危険なウェブサイトから身を守る
こうした脆弱性を利用されると、攻撃者はウェブサイトを乗っ取りマルウェアを配布する恐れがあります。Kaspersky Premiumは危険なウェブサイトや悪質なダウンロードをブロックし、端末と個人情報の保護に役立ちます.
Kaspersky Premiumを無料で試す人工知能が2024年に初めて確認されたPHP脆弱性の深刻さを実証
PHPの開発者は、2024年に一件の脆弱性の兆候を初めて確認していました。独立したセキュリティ監査の結果、メモリ管理の問題が特定され、潜在的に悪用され得ると疑われました。しかし当時は、その脆弱性がリモートコード実行につながることを示す証明ができませんでした。互換性を損なう恐れがあるため修正は先送りされ、開発チームが小規模で対応リソースが不足していたことも影響しました.
状況が変わったのは2026年夏です。調査に人工知能（AI）が導入されました。2026-08-11、カリフォルニアの研究者がGPT-5.6 Solモデルを用いて、その脆弱性が認証なしにサーバー上でリモートコード実行を可能にすることを確認しました。研究者はその発見をPHPの開発チームに報告しました。同日、OpenAIも独自に同じ問題を報告しています。その後、Wizの研究者らが、Gemini 4 Argonなど複数のAIツールを用いて独自の調査結果を発表しました。これらのAIモデルはソースコード解析、PoC（プルーフ・オブ・コンセプト／概念実証）攻撃シナリオの作成、および修正案の検証に寄与しました.
脆弱性の深刻さが示されたことで、PHP財団は対応を最優先事項としました。2026-10-21にPHPのメンテナはパッチ適用版をリリースしました：8.5.12、8.4.27、8.3.36、8.2.35です。両脆弱性はそれぞれ深刻度スコア9.2/10と評価され、これらのリリースで修正されました.
AI時代のウェブサイト防御—何をすべきか
人工知能（AI）は、長年見過ごされてきたソフトウェアの脆弱性をより速く発見するのに役立っています。例えば、2026年第2四半期には世界で約2,700件の重大な脆弱性が発見され、前年同期比で34％増加しました。専門家は、この増加の一因として大量のソースコードを効率的に解析できるAIツールの広がりを挙げています.
しかし同時にサイバー犯罪者もAIを利用して新たに発見された脆弱性を調査し、攻撃手法を迅速に開発できるため、脆弱性の公開から初回悪用試行までの時間が短縮しています。
ウェブサイトの安全性を高めるために、サイト所有者やサーバー管理者が取るべき対策は次の通りです：
- セキュリティリリースを監視し、速やかに更新を適用する。 重大な脆弱性が公表された際は、関連するセキュリティパッチをできるだけ早く適用することが必須です。PHP2Shellに関しては、ウェブサイト管理者はPHPを安全なバージョンへ更新してください。即時の更新が不可能な場合は、脆弱なサービスへの公開ネットワークアクセスを一時的に制限してください。
- 悪用試行からサイトを守る。 ウェブアプリケーションファイアウォール（WAFs）を利用して着信リクエストを解析し、悪意あるトラフィックを遮断してください。たとえばKasperskyのWAFは機械学習とフィルタールールを使い、ウェブアプリケーションコードの脆弱性を狙った疑わしいリクエストを検出します。パッチ適用中の攻撃リスク低減に役立ちます。
- サーバーのセキュリティとソフトウェアバージョンを監視する。 インストール済みソフトウェア（長期間更新していないアプリケーションや利用頻度の低いサービスを含む）のバージョンを定期的に確認してください。重要なセキュリティ更新を見逃しているシステムを特定できます。
関連記事：
おすすめ製品：
