世界のウェブの７割を支える基盤に重大な欠陥、最先端ＡＩが悪用手法を解明

クラウドセキュリティ企業のWizの研究部門であるWiz Researchは、世界のウェブサイトの70%を支えるプログラミング言語「PHP」の基本エンジンにおいて、複数の極めて重大な脆弱性を発見したと発表した。この欠陥を悪用されると、攻撃者は認証を経ることなく遠隔からサーバーを乗っ取ったり、機密情報を盗み出したり、ウェブサイトを改ざんしたりすることが可能になる。PHP本体の不具合であるため、その上で動作するWordPress、Joomla、Drupal、MediaWikiなどのアプリケーション側の記述が安全であっても影響を受ける。

これらの脆弱性は、過去10年間に公開されたほぼすべてのPHPバージョンに影響し、PHP 5.4まで遡る。問題は2つのCVEに分類され、深刻度を示すCVSSスコアは最大で9.2に達する。根底にある不具合は10年以上前から存在していたが、実際に攻撃を成立させるには極めて複雑な手順を連鎖させる必要があり、従来の人間の研究者による手作業では実証が限界に近い状態にあった。

今回の調査では、フロンティアAIモデルがこの障壁を大きく下げた。研究チームはGemini 4 ArgonやGPT-5.6 Sol、Wiz Atlasを活用することで、従来は長時間の分析や調整が必要だった複雑な悪用手順を、数時間で構築および適応させることに成功した。AIは異なるPHPのバージョンや設定、メモリの配置に合わせて攻撃手法を自動的に修正し、WordPressやDrupal、Joomlaの最新コンテナ環境において認証なしで任意のコードを実行できることを実証した。また、遠隔からサーバーのメモリを読み取り、パスワードやAPIキーなどの認証情報を窃取できることも確認された。

脆弱性の原因は、PHPがリクエスト処理中に発生する致命的なエラー、特にメモリ不足エラーを処理する際の不具合に起因する。予期せぬ終了によって破損した内部状態が残り、後続のリクエストで再利用されることでメモリの破損や情報流出が発生する。具体的には、セッションのアップロード進捗処理中に割り当て失敗が起きると、破棄されたメモリ領域への参照が残り、不正な操作が可能になる仕組みである。

2026年10月21日、PHPチームはこれらのメモリ安全性の問題を修正するパッチを公開した。Wiz ResearchはPHPチームやCalif、OpenAIと協力して脆弱性の発見や検証を進めたほか、Google Cloud、AWS、Cloudflare、Microsoftなど多数の事業者と連携して対策を整えた。影響を受けるシステムに対しては、パッチの即時適用が強く推奨されている。