PHP2Shell｜PHP の重大な脆弱性2件を AI で発見。何が壊れ、なぜ10年残り、今日なにを当てるか

2026年10月21日、PHP は認証なしの遠隔コード実行を許しうる重大な脆弱性2件（CVE-2026-109618「RCE via OOM corruption」・CVE-2026-109619「RCE via stale global state」、どちらも CVSS v4.0 で 9.2）を直した PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました（予告は10月20日）。発見した Calif と Wiz は、調査に AI を使ったと書いています（Wiz は GPT-5.6 Sol・Gemini 4 Argon などを使用と明記）。この回では、2つの穴がどこで壊れるのか、なぜ長く残ったのか、別々のチームが数週間差で同じ所に着いた意味、OpenAI の「Patch the Planet」の狙い、発見が速くなると守る側の詰まる所がどこへ移るか、PHP を使う人が今日やることと踏みやすい穴を解説します。 ■ この回について ・事実は PHP 公式のアドバイザリ2件・php.net の告知・CERT-EU・IPA・Calif・Wiz の解説（2026-10-22 確認）のもの ・OpenAI の発表の本文は確認できていません（内容は ITmedia AI＋ の報道によります） ・野外での悪用は、2026-10-22 時点でどの一次資料も確認していません（CERT-EU は試しの攻撃コードが出回り始めたと記載） ・どちらの会社が先に見つけたかは、各社の記述だけで確定していません ・このチャンネルでは攻撃を再現していません ・推測は「〜とみられます」、このチャンネルの意見は「検証屋の見立て」と前置きしています ■ 次に確かめること ・野外での悪用の報告と、OpenAI の発表の本文 ■ 目次 0:00 結論 0:45 何が起きた 2:00 仕組み・背景 3:57 狙い 5:07 影響 6:24 判断 ■ 出典（公式の発表・ドキュメント） ・PHP 公式アドバイザリ GHSA-w8hw-w9fx-j79w（CVE-2026-109618）: https://github.com/php/php-src/securi... ・PHP 公式アドバイザリ GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）: https://github.com/php/php-src/securi... ・php.net の告知（2026-10-20 予告・2026-10-21 公開）: https://www.php.net/archive/2026.php ・CERT-EU Security Advisory 2026-018: Critical Vulnerabilities in PHP: https://cert.europa.eu/publications/s... ・IPA: PHP の脆弱性に関する注意喚起（2026-10-21）: https://www.ipa.go.jp/security/securi... ・Calif: PHP2Shell: https://calif.io/php2shell/ ・Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities: https://www.wiz.io/blog/php2shell-php... ・ITmedia AI＋: PHPの脆弱性、OpenAIのAIで発見（2026-10-22）: https://www.itmedia.co.jp/aiplus/arti... ■ この動画について ・内容は 2026-10-22 時点の公式情報にもとづきます。提供範囲や料金は変わることがあります。 ・ナレーションは合成音声です。解説役は当チャンネルのキャラクター「ヨル」です。 ・図解は公式の発表をもとに当チャンネルで作成したものです。 #PHP #脆弱性 #AIニュース