PHPに2件の重大な脆弱性、OpenAIとWizがAIで発見しNSAが警告

脆弱性により、攻撃者はサーバーのファイルシステムやWebアプリが使うデータベースに侵入できる。PHP 5（2004年公開）以降の全バージョンに存在していたとされる。PHP 8.1以前はすでにサポート対象外で、該当サイトは更新作業が必要になる。NSAは、すぐにパッチを適用できないサイトは適用までオフラインにするよう勧告している。

発見の経緯は2系統ある。セキュリティ企業Califは、OpenAIのオープンソースソフトウェア脆弱性探索の取り組み「Patch the Planet」の一環で、GPT‑5.6 Solを使って1件を見つけた。別にWizのチームも、Wiz Atlas、Gemini 4 Argon、GPT-5.6 Solを使って複数の脆弱性を発見した。両者は責任ある開示の手順に従い、公表前にPHP側とパッチを準備した。

Wizは、Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercelに協力への謝意を示した。WordPressは、今回の問題はWordPress固有ではなく、利用者はサーバーにパッチを適用しホスティング事業者と連携する必要があるとの声明を出している。

OpenAIは、攻撃者に見つかる前に研究者が発見したため、実環境での悪用報告はないとしている。Wizは、従来は悪用が難しかったが、LLMがPHPのバージョンや構成、メモリレイアウトごとのエクスプロイトの調整を支援できるため、その障壁はなくなると警告している。公開により攻撃者も情報を把握した状況で、数千万のサイトへのパッチ適用が急務になっている。