IT・AI
2026年10月22日
AIがPHPの20年来のRCE脆弱性を発見 海外では「宣伝目的では」の疑念も
セキュリティ企業Wiz(Googleグループ)が、複数のAIモデルを使って20年以上前から存在していたPHPの重大なリモートコード実行(RCE)脆弱性を発見したと発表した。Hacker Newsのスレッドでは、2ヶ月に及んだ開示までの経緯や、実証動画をきっかけに脆弱性情報が外部へ流出した疑いへの疑問が相次いだ。一方で、何千人もがレビューしてきたはずの古いコードに潜んでいた点を評価する声や、脆弱性発見を自社サービスの宣伝に使っているとの皮肉も目立ち、PHPが今も多くのCMSを支えている実態も話題になった。
PHP2Shell: AIがPHPの重大なRCE脆弱性を発見
出典: wiz.io / 元記事はこちら
3
海外の名無しさん
2026-10-21 14:28
リサーチ自体はcalif.ioという人物が8月11日から開示を始めていて、Wizの8月24日より先行していたように見える。関係者がどう絡んでいたのかよく分からない…（リンクあり）
15
海外の名無しさん
2026-10-21 14:36
（>>3へ）AIによる技術記事に多い嫌いなパターンがこれ。最近の技術記事はまるでAtlantic誌のノワール風ジャーナリズムみたいになっていて、本題に入るまでに20ページ以上スクロールさせられる。
5
海外の名無しさん
2026-10-21 14:49
修正を検証できる、信頼できるソースのコードを見つけた人はいる？
6
海外の名無しさん
2026-10-21 14:10
『我々はこの調査全体でWiz AtlasとGemini 4 Argon、GPT-5.6 Solを使用した。特にGemini 4 Argonは脆弱性の発見、エクスプロイトの開発、攻撃の検知、パッチの検証において非常に貴重な貢献をした』
18
海外の名無しさん
2026-10-21 14:16
（>>6へ）まず自社の製品を売り込み、次に早期アクセスを得た製品を売り込む…2ヶ月待ったのは分かるけど、修正版が出てから数分後に詳細を公開するぐらいなら、もう少し待った方が賢明じゃないか？
19
海外の名無しさん
2026-10-21 14:12
（>>6へ）ちょっとした自社アピールだね（笑）
7
海外の名無しさん
2026-10-21 14:04
ばかな質問かもしれないけど、PHPって『Project Glasswing』の対象なの？10年も放置されていたとはすごい。他にも何が潜んでいるのか考えると怖い。
21
海外の名無しさん
2026-10-21 14:10
（>>7へ）PHPを使ってるものは多いよ、例えば掲示板の大半とか。動的Webが普及する前はすごく人気だった。
36
海外の名無しさん
2026-10-21 14:42
（>>21へ）最近変わっていなければ、WordPressのおかげで今でもサーバーサイド言語としては世界で最も使われているはず。
37
海外の名無しさん
2026-10-21 14:13
（>>21へ）phpBB系の掲示板を思い出して懐かしくなった。でも最近はあのスタイルの掲示板はあまり見ない。EEVblogやArsくらいかな。
8
海外の名無しさん
2026-10-21 14:16
脆弱性があったのは少なくとも20年前のコードで、AIによる発見にはよくあるパターンらしい。発見やエクスプロイト作成にかかった計算コストは明らかにされていないのに、人類史上初のRCEみたいに宣伝されている。
23
海外の名無しさん
2026-10-21 14:49
（>>8へ）AIには懐疑的でいたいけど、何千人もが読んでレビューしてきたはずの20年物のコードに潜んでいた方が、むしろ目立つ話じゃないか？
24
海外の名無しさん
2026-10-21 14:42
（>>8へ）これは昔からあって多数のサイトで動いているRCEだ。多くの企業がWordPressみたいなサイトを使っているから、そこが突破されればネットワークのより保護された領域への足がかりになる。だから大問題だよ。
9
海外の名無しさん
2026-10-21 14:51
AIが責任ある開示をやり損ねた、ってことだね*
10
海外の名無しさん
2026-10-21 14:46
こういう『研究体制』にはもう飽き飽きしてる。ロゴとブランドまで用意して金を稼ぐ必要が本当にあるのか？本当に問題だったのか、それとも人為的に作られたものなのか。こんな風に情報を漏らした上で『うちの製品を買ってね、バグを見つけたから』なんてね。
12
海外の名無しさん
2026-10-21 14:05
そうだね、人間じゃなくて『AI』ね。
26
海外の名無しさん
2026-10-21 14:11
（>>12へ）放置されたソースコードを延々と漁ってバグを探す作業は、多くの人にとってやりがいのある仕事じゃない。眠らないAIにはぴったりの用途だ。
27
海外の名無しさん
2026-10-21 14:28
（>>12へ）どちらのバグもAI以前に報告されていたらしい。もしそうなら、どうしてその報告が修正されずにすり抜けたのか、重要な疑問が残る。
14
海外の名無しさん
2026-10-21 14:23
（>>2へ）協調公開の直前に起きた『無責任な』開示について、誰か説明できる？
16
海外の名無しさん
2026-10-21 14:56
（>>4へ）実証用動画に何か問題があったの？何が驚くことなのか分からない。
17
海外の名無しさん
2026-10-21 14:53
（>>4へ）ちなみにバックポート版の修正は、新しいバージョンのように問題を直すのではなく、古いバージョンではセッションアップロード機能自体を無効化しているだけみたいだ（リンクあり）
20
海外の名無しさん
2026-10-21 14:08
（>>7へ）OpenAIのブログ記事によるとSolが協力したらしい。オープンソースプロジェクトはこのプログラムに申し込めるとのこと（リンクあり）
29
海外の名無しさん
2026-10-21 14:30
（>>13へ）2ヶ月は長すぎるし、関係者はやり方を分かっていない感じがする。『報告』から『PHPが認知』まで1ヶ月もかかるのは、メールかWebフォームを送っただけという感じがする。本来の報告の仕組みは『主要ディストリやWordPressの知り合いに話して、適切な人に連絡してもらい、こっそりパッチを入れてもらう』はずなのに。
30
海外の名無しさん
2026-10-21 14:36
（>>13へ）理解した限りでは、記事にあるような実証動画が公開されて、そこに映っていたメッセージから他のLLM利用者がバグを発見できたということらしい。
41
海外の名無しさん
2026-10-21 14:45
（>>30へ）その動画を共有した人は、どうやってこの脆弱性を知ったんだろう？最初から関係者の輪に入っていたのか、それとも既に輪の外に流出していたのか？
31
海外の名無しさん
2026-10-21 14:35
（>>13へ）ダウンストリームの配布元にもパッチを当てる時間があれば良かったのに。
32
海外の名無しさん
2026-10-21 14:19
（>>13へ）サイモン、AIに近づきすぎて文章がAI判定に引っかかるようになってるみたいだよ。
33
海外の名無しさん
2026-10-21 14:51
（>>15へ）コミック風の文章を見ると大抵そっとページを閉じる。
34
海外の名無しさん
2026-10-21 14:20
（>>18へ）Wizってグーグルの会社だよね…
35
海外の名無しさん
2026-10-21 14:27
（>>21へ）今でも普通に人気だよ。CMSサイトのほぼ半分はWordPressが動かしてる。ECサイトの多くもWooCommerce（WordPressプラグイン）を使ってる。掲示板も間違いなく（phpBB！）。Moodleなどの学習管理システムもPHP製。DrupalやJoomlaみたいな他のCMSもシェアが大きい。カスタムのMediaWiki（Wikipediaのやつ）もPHPだったと思う。
38
海外の名無しさん
2026-10-21 14:55
（>>23へ）オープンソースで実際に読んでレビューしている人なんてほとんどいない。ESR由来の神話だよ。たぶん一人が書いて、もう一人が『LGTM』って言っただけ。
39
海外の名無しさん
2026-10-21 14:57
（>>24へ）Webサーバーは『足がかり』にしてはいけない。常に敵対的だと見なして厳しく制限すべき。PHPは特にリモートで突かれる脆弱性で有名だけど、それはスタック自体が他より劣っているというより、人気があって初心者に広く使われていることが大きい。
42
海外の名無しさん
2026-10-21 14:28
（>>37へ）phpBB、vBulletin、XenForoは今でも思っている以上に使われているよ。コメント欄があるサイトは、直接見えなくても、そのどれかがバックエンドで動いていることが多い。
43
海外の名無しさん
2026-10-21 14:33
（>>42へ）PHPnukeを忘れるなんてひどいな。
この話題の背景と論点
今回のPHP2Shellは、セッション処理に絡む古いコードに起因する脆弱性で、WordPressやphpBBなど多数のCMS・掲示板ソフトの基盤であるPHPの性質上、影響範囲が広くなりやすい。スレッドで割れたのは脆弱性発見の技術的評価ではなく、公表までの進め方だ。責任ある開示では通常、関係するディストリビューションやCMS側に事前連絡して修正を行き渡らせる時間を取るが、今回は「報告からPHP側の認知まで1ヶ月かかった」「修正公開直後に詳細を出すのは早すぎる」との指摘が出た。また実証動画が先に出回ったことで関係者以外にも脆弱性の存在が伝わった可能性が議論されており、本文中でも漏洩経路は明確になっていない。読者が誤解しやすいのは「AI単独の手柄」という点で、スレッド内の指摘通りGemini 4 Argonなどは発見・検証を支援する役割であり、調査設計や公表判断自体は人間のセキュリティ企業側が行っている。
※本記事は海外掲示板 Hacker News のスレッド「PHP2Shell: AI uncovers critical RCE in PHP」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。