AIが見つけたPHPの重大な弱点――修正版公開と、サイト運営者が確かめること

Webサイトを動かすPHPに重大な脆弱性。修正版の公開を公式で確認し、AIによる発見と人による修正・導入を分けて読みます。

資料確認：2026-10-22 · 出典を読む ↗

発表の内容

PHP保守者の告知とOpenAIの役割説明を照合／侵害の有無や全事業者の導入完了は未確認

発表・資料：2026年10月21日／PHP公式・OpenAI発表（10月22日確認）

① 実際にできたこと

医療研究ではありません。PHPはWebサイトのサーバーで使われるプログラミング言語です。PHP開発側は10月21日、認証なしの遠隔コード実行につながり得る2件の弱点に対する修正版を公開しました［1］。「公開予定」という事前告知から、修正版を入手できる段階へ進んでいます。

② どういう仕組みか

公式が示す修正版は8.5.12、8.4.27、8.3.36、8.2.35。識別番号はCVE-2026-109618とCVE-2026-109619です。Web要求を処理するPHPが対象で、ホスティング事業者やLinux配布元が修正を取り込んだパッケージを提供する場合もあります［1］。

③ 情報の種類

AIが自動で世界中のサイトを直した、という発表ではありません。OpenAIは、CalifがGPT-5.6 Solを使って重大な弱点を発見し、Wizも独立に両方を発見・報告したと説明しています。修正とリリースを主導したのはPHPの保守者で、複数組織が事前の防御準備を支援したとしています［2］。これは発見に関与した企業の説明であり、AIの発見能力全般を比較した独立試験ではありません。

④ まだわからないこと

このニュースが示すのは、弱点を見つける速さだけでは防御が完了しないことです。修正版を作る、利用中の製品に届ける、実際に動いている環境へ反映する、という工程が必要になります。OpenAIは関係者への事前共有と公開後の導入支援を含む枠組みも提案していますが、提案と、すべてのサイトでの対応完了は区別します［2］。

実用化・安全性について

PHP公式は更新を強く勧め、暫定対策だけでは安全にできないと説明しています［1］。サイトの管理者は提供元の告知で使用環境と修正適用を確認してください。PHP 8.1以前は提供元の延長保守などの確認が必要です。画面に見える版番号だけで修正の有無を決めず、提供元の情報を照合します。一般の読者が閲覧先を自分で改修する必要はありません。個別サイトが侵害されたか、全事業者が更新を終えたかは今回確認していません。次に見るのは利用先・管理先の対応状況です。