PHPの重大脆弱性「PHP2Shell」公表、修正版は10月21日公開

PHPに存在する2件の重大な脆弱性が「PHP2Shell」の通称で公表された。特定の条件下で認証情報なしにサーバー上で遠隔コマンド実行が可能になるもので、深刻度は各9.2（10点満点）と評価されている。aitimes.comが伝えた。PHP開発チームは脆弱性の詳細と攻撃デモが予定より早く流出したことを受け、10月21日に予定を1日前倒しして修正版を公開した。

脆弱性はAIを用いて発見された。セキュリティ企業CalifがGPT-5.6 Solで発見し8月に報告、Wizは独自のAIツールに加えGoogleのGemini 4 ArgonとGPT-5.6 Solを使って独立に確認した。

修正版の公開を受け、オランダでは政府ポータル、ロッテルダム港、サッカー協会、主要政党、複数の病院が公開ウェブサイトを一時停止した。Notubizのサービスを利用する100以上の自治体、州政府、水道管理当局も影響を受けた。デンマークでは学校連絡用プラットフォームが停止し、フィンランド、ドイツ、フランスは政府系サイトを一時的に遮断した。

ドイツのフライブルク大学、オーストリアのウィーン大学、Wikimedia Foundation、Internet Archiveも一部のサイトやシステムを停止した。ドイツとフィンランドは、停止は予防措置であり、悪用の試行やデータ漏えいによるものではないと説明している。

Cloudflareは初期の攻撃試行を観測したとし、顧客向けの防御を展開したと述べた。CISAは発表時点で悪用の確認事例はないとした。Sensisによると、観測された約260万台のホストのうち約150万台が、修正プログラムを適用しにくいPHPバージョンを稼働させている。