AIが見つけたPHPの重大な弱点、会社のホームページは更新済みか制作会社に確認を

何が起きたか

2026年10月21日（日本時間では同日深夜）、PHPの開発チームが、重大な弱点2件（CVE-2026-109618・CVE-2026-109619）を直した修正版を公開しました。PHPは、ホームページを動かすためにサーバーで使われている仕組みで、WordPressもPHPで動いています。

• 深刻さは最も高い「Critical」で、点数は10点中9.2
• ログインしなくても、外からサーバーの上で好きな命令を動かされるおそれがある弱点です
• 2004年のPHP 5のころから残っていたとされています
• 修正版は 8.5.12、8.4.27、8.3.36、8.2.35。8.1より古い版は、もう修正が出ません

見つけるのにAIが使われました。報道によると、セキュリティ会社のCalifがOpenAIの取り組みの中でOpenAIのAIを使って弱点を見つけ、Google傘下のWizも別にAIを使って同じ弱点を報告しています。修正が出る前に中身の一部が漏れ、実際の攻撃が観測されたとも報じられています。

社長にとっての意味

自社のホームページが、どのサーバーのどのPHPで動いているかを確かめてください。 WordPressで作ったホームページも対象になりえます。WordPress側は「WordPressだけの問題ではなく、サーバーのPHPを更新する必要がある」としています。

やることは1つで、ホームページを作った制作会社か、契約しているサーバー会社に「PHPの10月21日の修正は当たっていますか」と聞くことです。レンタルサーバーなら、管理画面でPHPの版を選び直せる場合もあります。問い合わせフォームや会員ページのような、自社で作った仕組みがあるなら、特に急いだほうがよい部分です。

もう1つ覚えておきたいのは、AIは古いソフトの弱点を見つけるのが得意になってきたということです。守る側が先に見つけられる一方、攻める側も同じ道具を使えます。何年も触っていないホームページや社内のシステムは、更新の担当者を決めておく時期です。

もう少し詳しく

PHPの開発チームは10月23日にも、別の弱点について「次の修正が出るまで、ある設定を切っておくように」という知らせを出しています。修正は1回で終わりではないので、制作会社に「今後の更新もお願いできるか」まで確かめておくと安心です。