セキュリティベンダーPalo Alto Networksは2026年10月21日、同社の遠隔測定データ（テレメトリー）に基づき、これらの脆弱性の影響を受ける可能性がある、インターネットに公開されたインスタンスを2260万件以上特定したと発表した。

　これらの脆弱性は、セキュリティ研究者が米OpenAIのAIモデル「GPT-5.6 Sol」を活用して特定したものだ。同社によると、研究者がメモリ処理の根本的な欠陥を検出・分析する作業をGPT-5.6 Solが支援した。

　OpenAIは次のように説明する。「2026年8月中旬からの約2カ月間、当社はPHPのメンテナー（保守管理者）、セキュリティ研究者、セキュリティベンダーから成る連携組織を主導し、情報公開に先立って修正プログラムと防御策を準備してきた。PHPエンジンの大幅な変更を伴う複雑な修正だったため、これだけの期間を要した」

　脆弱性の深刻度とPHPの普及率の高さを踏まえて、OpenAIは「近年で最も影響の大きい脆弱性だ」との考えを示す。

　オーストリア出身のプログラマーで、AIエージェント「OpenClaw」の開発者であるピーター・シュタインベルガー氏は、「企業やWebサイトの管理者が必要なパッチの適用に追われるため、今後1週間程度は大混乱を引き起こすだろう」と短文投稿サイト「X」（旧Twitter）に投稿した。

　今回見つかった「CVE-2026-109618」および「CVE-2026-109619」は、どちらもCVSS（共通脆弱性評価システム）のスコアが9.2（緊急）と評価された、深刻なリモートコード実行（RCE）の脆弱性だ。

　CVE-2026-109618は、C言語の標準関数「longjmp()」を利用してメモリ不足（OOM: Out-Of-Memory）エラーを処理する際の不備に起因する。制御フローの管理が不適切なため、リクエスト処理用メモリが未初期化のままになり、攻撃者が意図的にメモリ不足を引き起こすことで確実に任意のコードを実行できるようになる。

　CVE-2026-109619は、longjmp()による致命的なエラー処理で、解放済みのメモリ領域を指すポインタがグローバルメモリに残り続ける脆弱性だ。永続的に稼働するワーカープロセスが、その後のリクエストでこの領域を読み取ったり分岐処理に使用したりできるため、攻撃者は任意のコードを実行可能になる。

　The PHP Foundationによると、Webリクエストを処理する全てのPHPシステムが危険にさらされている。これには「PHP-FPM」、「mod_php」を使用する「Apache HTTP Server」、「php-cgi」「FrankenPHP」「LiteSpeed」などが含まれる。

　「アプリケーションのコードが実行される前に、認証されていない単一のリクエストによって攻撃を引き起こせる実証済みのエクスプロイト（攻撃コード）が存在するため、mod_phpのリスクが最も高い」とThe PHP Foundationは警告する。

切迫した警告

　脆弱性が公開されてから数時間のうちに、クラウドセキュリティベンダーWizの研究者は、今回の脆弱性について、Web全体に影響を及ぼした脆弱性「Heartbleed」のようなメモリ情報漏えいに似ていると指摘した。同社は「PHP 5.4までさかのぼったほぼ全てのPHPのバージョンが、少なくとも脆弱性による問題の影響を受ける」と説明する。

　WebサービスベンダーのCloudflareは、2026年10月21日時点でこれらの脆弱性に対する保護機能を展開済みだと発表した。一方で、この脆弱性による問題を防ぐには、HTTPリクエストに基づく標準的なWAF（Web Application Firewall）のルール以上の対策が必要だとも言及した。リクエストのデータだけでは、攻撃と正当な通信を区別するための十分な証拠が得られない場合があるという。

　調査会社Forrester Researchのシニアアナリストであるマデレイン・ファン・デル・ハウト氏は、「表面的なシステム構成を確認するだけでは不十分だ」と警告する。「この脆弱性が重大な理由は、それが存在する階層だ。PHPはさまざまな組織のWebサイトやアプリケーションを支えているため、自社のコーポレートサイトを確認するだけでは不十分だ。インターネットに接続されたシステムを最優先で確認して対処する必要がある」

　ファン・デル・ハウト氏は迅速な対処の重要性を指摘しつつ、「パッチ適用は対策の一部に過ぎない」と語る。セキュリティ担当者はPHPの稼働場所を特定し、外部公開システムを優先して公式のパッチを迅速に適用するとともに、侵害の兆候を調査する必要がある。「パッチは脆弱性をふさぐものだが、攻撃者が既に確立した不正アクセス権までは排除できない」と同氏は付け加えた。

　セキュリティベンダーGuidePoint Securityの脅威調査インテリジェンスチームで主席脅威インテリジェンスコンサルタントを務めるジャスティン・ティモシー氏は、初期の侵害兆候の調査と追跡が極めて重要だと強調する。

　「これらの脆弱性について、ベンダーが公開した侵害の痕跡（IoC）は現時点では存在しない。そのため、現状での検出は振る舞いの追跡に依存しており、調査結果で異常が見つからなくても侵害されていないとは断定できない」（ティモシー氏）

緩和策とガイダンスの概要

　英国国家サイバーセキュリティセンター（NCSC）などの国家機関からの警告に従っている組織を含め、全ての組織は即時の対処が求められている。

　管理者が優先して取り組むべき主な行動は以下の通りだ。

1. 影響範囲の特定
   • システム全体でPHPを実行している、社内および一般公開されている全てのシステムを棚卸しする。古いバージョンのシステムだけでなく、全てのバージョンが影響を受ける点に留意する。
2. パッチの適用
   • 公式で修正済みのバージョン（PHP 8.2.35、8.3.36、8.4.27、8.5.12）に直ちにアップグレードする。「Linux」のLTS（長期サポート）ディストリビューションを利用している場合は、ディストリビューション提供のパッケージマネジャーでバックポートされた（新しいバージョン向けのプログラムを古いバージョンでも動くようにした）修正パッケージを確認・適用する。
3. PHP 8.1以前の古いバージョンへの対応
   • PHP 8.1以前の公式アップストリームサポートは終了している。PHP公式が提供する最小限のソースコード向けバックポートプログラムを適用するか、LTSベンダーと調整してPHPをサポート対象バージョンアップにグレードする。
4. 一時的な緩和策の実施または切断
   • 直ちに完全なパッチを適用できない場合は、Webサーバに一時的な緩和策を実施するか、安全が確保されるまでリスクの高いインターネット接続システムをオフラインにする。
5. パッチ適用前の侵害の調査
   • サーバを再起動または再構築する前に、2026年10月20日（協定世界時）以降の全てのサーバログを保存する。アップデートを適用する前に、システムにバックドアや不審な動作がないかどうかを監査する。

　Webサイトの管理者や組織の担当者が緊急の修正プログラムの適用に追われる中、OpenAIは「今回の発見が、自動化された脆弱性検出における新たなマイルストーンを浮き彫りにした」と述べた。「これは『防御側の猶予期間』が機能した実例だ。フロンティアAIが攻撃者よりも先に脆弱性を発見したことで、防御側に準備する時間を与えた」と同社は説明する。