AI支援のphp2shellエクスプロイトチェーンがPHPランタイムを攻撃、ウェブの70%に協調防御を強制

PHPコアランタイムの2つの重大な脆弱性は10年以上存在していたが、フロンティアAIモデルの助けにより初めて悪用可能と証明され、2026年10月21日にCalif.io、Wiz、OpenAI、Quarkslabによって公開された。CVE-2026-109618およびCVE-2026-109619として追跡され、総称してphp2shellと呼ばれ、CVSS v4.0スコアは9.2で、PHP 5.4以降のすべてのバージョンに影響する。PHPは同日パッチをリリースした。これらの欠陥は、サーバーが特別に細工されたHTTPリクエストを処理する際に、未認証のリモートコード実行、メモリ開示、サービス拒否、データ露出を可能にする。欠陥はアプリケーションやプラグインではなくPHPランタイム自体に存在するため、WordPress、Joomla、Drupal、Magentoなどのプラットフォームがリスクにさらされる。Wiz Researchによると、メモリ安全性のバグは数十年前から存在していたが、悪用には人間の研究者の実務能力の限界に近い極めて複雑な手順が必要だった。フロンティアAIモデルがその障壁を大幅に下げた。CloudflareはPHP Foundation、OpenAI、Wizと協力し、2026年10月初旬からWAF保護を開発し、10月21日UTC 3:02にすべての無料および有料WAF顧客にデフォルトで有効化した。これは公開開示の約9時間前だった。CloudflareのCTO Dane Knecht氏は、初期攻撃が現れており、標準的なリクエストベースのWAFルールでは不十分だと述べた。php2shell保護は、リクエストとレスポンスの信号を組み合わせる新しいWAF機能「完全トランザクション検出」を使用した初のマネージド検出である。PHPは10月21日UTC 14:00にセキュリティ更新を公開し、管理者はPHPランタイム自体を更新する必要がある。ウェブサイトのコードやプラグインの更新だけでは修正されない。

(出典：Vector Wire)