PHPに深刻な脆弱性、PHP2Shellなど公開

プログラミング言語PHPに深刻なセキュリティ脆弱性が2件見つかり、公開フォーラムで公表された。PHP団体はこれらが実在することを認めた。世界のウェブサイトの最大70%がPHPを使用しているとされる。

脆弱性の一つ「PHP2Shell」は、認証なしでサーバー上で任意のコードを遠隔実行したり、プロセスメモリを読み取ったりできるもの。影響を受けるのはPHP 8.2.34、8.3.35、8.4.26、8.5.11およびそれ以前のバージョンに加え、サポート終了となったPHP 8.1以下（7.x、5.xを含む）のすべて。

PHP側は、修正版の8.2.35、8.3.36、8.4.27、8.5.12へ直ちに更新するよう勧めている。KISA、CISA、英NCSC、EUのCERT-EUも更新を促すか、リスクへの警告を発した。NSAは、すぐにパッチを適用できない企業に対し、サービスを停止するよう助言したという。

この脆弱性は、セキュリティ企業Wizが同社のセキュリティAIエージェント「Wiz Atlas」とGoogleのGemini 4 Argon、OpenAIのGPT-5.6 Solを組み合わせて発見した。セキュリティテスト企業Califも、OpenAIの「Patch the Planet」プロジェクトでGPT-5.6 Solを使い、PHPの脆弱性の一つを発見している。

デジタルトゥデイ（digitaltoday.co.kr）によると、ロッテルダム港やパリ警察、4chanを含む欧州の政府機関や病院、学校などのサイトが、攻撃を避けるためアクセスを遮断した。アトランティック・マンスリーが10月21日（現地時間）に報じた。同じ日にはNode.jsのチームも複数の高深刻度の脆弱性を公表している。

10年以上未発見、AIツールが検出

この脆弱性は10年以上にわたり発見されず、AIツールによって見つかった。過去1年間で毎月発見されるソフトウェア脆弱性の数は2倍に増え、発見から悪用までの時間は数週間から数時間にまで短縮されたとする推計もある。