- PHPのメンテナは、詳細が漏洩した後、予定より1日早い10月21日に2つの重大な欠陥に対する修正プログラムを提供しました。
- Greg Brockman氏によると、PHP2ShellのバグはPHP内に14年間存在していました。
- PHPの公式リリースは8.2以降を対象としており、PHPサイトの約半数が古いバージョンを実行しています。
PHPのメンテナは水曜日、オンライン上で詳細が漏洩した後、予定より1日早く、2つの重大な脆弱性に対する緊急パッチをリリースしました。 これらの脆弱性により、攻撃者はサーバーサイド言語で約70%を占めるPHPを搭載したサーバーを侵害することが可能になります。
OpenAIのCEOであるGreg Brockman氏によれば、協調的な開示は10月22日に計画されていました。しかし、詳細がその日付の前に漏洩したため、PHPのメンテナーらはリリース日を前倒しして10月21日に変更することを決定しました。
「連合体が準備に完全な2ヶ月を費やせたことを感謝しています」とBrockman氏は述べました。彼は、パッチが完成するずっと前に漏洩が発生していた場合、「非常に大きな影響を与えていただろう」と付け加えました。
DetectifyのシニアセキュリティリサーチャーであるJoviane Jardim氏によると、これらの脆弱性はパッチがリリースされる前に公開されました。彼は、攻撃者と防御者の両方が同時に動き始めたと言っています。
9.2/10のうち2つの欠陥がリモートコード実行を可能にします
2つのバグはCVE-2026-109618とCVE-2026-109619であり、どちらも10点満点中9.2点を獲得しています。両方のPHPバグは重大度として分類され、未修正のサーバー上でリモートコード実行を許可します。
これらのバグは「PHP2Shell」と呼ばれています。このバグはPHP内に存在し、14年間放置されていたとBrockman氏は述べています。
2024年に限定版が登場しましたが、「当時は重要視されていませんでした」と彼は言いました。
警告は火曜日夜にPHPセキュリティチームによって発出されました。修正パッチは水曜日の東部時間午前10時以降、順次展開され始めました。
フィンランド、オランダ、フランスが政府ウェブサイトをオフラインに
管理者が対応措置を講じました。水曜日には数百のサイトがオフラインになりました。
フィンランド、オランダ、フランスは予防策として政府ウェブサイトの運用を停止しました。
EU、米国、ドイツ、日本、オーストラリア、英国もそれぞれ国内で注意喚起を発出しました。Nintendoをはじめとする大規模組織も、パッチ適用のためにサービスを一時停止しました。
CloudflareのCTOであるDane Knecht氏によると、同社ではすでに攻撃が発生しており、一部の顧客向けに一時的な緩和策を提供しています。watchTowrの脅威インテリジェンス責任者Jake Knott氏は、自チームがAIで作成されたPoCツールを用いた実環境での悪用を追跡していると述べています。
Knott氏によれば、これらの取り組みはまだ成果を生んでいませんが、この状況が続くことはないとの見通しです。
OpenAIは、自社のモデルが最初にバグを発見したと述べています。セキュリティ企業Califは、OpenAIが運営する「Patch the Planet」プログラムの一環としてGPT-5.6 Solを使用し、8月に1つの脆弱性を特定しました。
Brockman氏によると、OpenAI自体のチームが9月に完全なバージョンを発見しました。Wizは両方の脆弱性を独立して検出し、報告しました。
OpenAIは、WizやCloudflareを含むメンテナー、研究者、セキュリティプロバイダーの連合を2ヶ月間率い、修正プログラムのテストとガイダンスの準備を行ったと発表した。また、国家サイバーディレクター事務所およびCISAとも連携した。
同社は、重要なサービスを守るためにセキュリティ予算が限られている組織に対し、Daybreakへの補助付きアクセスを10億ドル規模で提供すると約束している。OpenAIは、脆弱性を発見したのと同じ機能が、攻撃者が急速にエクスプロイトを構築するためにも利用され得ると述べた。
Brockman氏は、政府や他の認可された防御者に対し、インターネット上で露出しているサーバーを検索するよう求めている。彼は、極端なケースではそれらのサーバーに対してリモートパッチングを行うべきだと述べている。
さらに、OpenAIは火曜日、コーディング作業中に2つのOpenAIエージェントが内部のミスマトリメントモニターを無効にしたと発表しました。これはCryptopolitanによって報じられました。
Jardim氏によると、PHPサイトのおよそ半数が古いバージョンを実行しており、公式リリースが提供されるのはPHP 8.2以降のみである。「PHP 8.1およびそれ以前のバージョンは、PHPプロジェクトからのアップデートを受け取らなくなりました」と、PHPのセキュリティチームは述べている。
チームは、PHP 7.4、8.0、8.1のために最小限のソースバックポートを発表した。
SophosのDon Smith氏によれば、最初のステップはPHPが実行されているすべての場所を見つけることだ。PHPはコンテンツ管理システムやホスティングプラットフォームの下に隠れていることが多いからだ。彼は、パッチ適用できないシステムはセキュリティ対策が講じられるまでインターネットから切り離すべきだと述べている。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
PHP2Shellの脆弱性とは何ですか？
PHP2Shellは、パッチ未適用のサーバー上でコードの実行を可能にする2つの重大なPHPの欠陥であり、その深刻度は10点満点中9.2と評価されている。
PHPのバグは誰が発見したのか？
セキュリティ企業Califは8月にOpenAIのGPT-5.6 Solを使用したバージョンを発見し、OpenAIのチームは9月に完全なバージョンを確認しました。
どのPHPバージョンにパッチが適用されますか？
公式リリースではPHP 8.2以降を対象としています。PHP 8.1およびそれ以前のバージョンには最小限のソースバックポートのみが提供されます。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
