Wiz Researchは、CalifおよびOpenAIと協力し、PHPコアエンジンにおける一連の重大なメモリ安全性の脆弱性を最近特定しました。PHP2Shellと総称されるこれらの欠陥により、認証されていない攻撃者がリモートコードを実行したり、パスワードやAPIキーなどの機密性の高いプロセスメモリを漏洩させたりすることが可能になります。PHPはWordPress、Drupal、MediaWikiといった主要なプラットフォームを含め、世界のウェブサイトの約70%を支えているため、この発見はインターネットインフラの大部分に重大なリスクをもたらします。これらの脆弱性はPHP上で動作する特定のアプリケーションとは独立しているため、影響を受けるPHPバージョンで実行されている場合、安全な「Hello World」アプリケーションでさえ侵害される可能性があります。
この研究は、PHPコアエンジンにおける一連の重大なメモリ安全性の脆弱性を特定しています。
これらの問題の技術的な根本原因は、PHPが致命的なエラー、特にメモリ不足（OOM）イベントを処理する方法にあります。リクエストによってOOMエラーが発生すると、PHPエンジンは破損した内部状態や「古い」グローバルポインタを残す可能性があります。同じワーカープロセスによって処理される後続のリクエストは、この破損した状態を再利用できてしまいます。具体的には、研究チームは2つのCVE（CVE-2026-109618およびCVE-2026-109619）に分類される4つの悪用可能なバグを特定しました。これらには「upload-progress unserializer use-after-free」や「OPcache type confusion」が含まれます。後者の場合、スクリプトの永続化中に割り当て失敗が発生すると、共有メモリのインデックスに不一致が生じ、リモートコード実行に悪用可能なワーカー間でのタイプ混乱を引き起こします。
PHPはWordPress、Drupal、MediaWikiといった主要なプラットフォームを含め、世界のウェブサイトの約70%を支えているため、この発見はインターネットインフラの大部分に重大なリスクをもたらします。
この研究の主要な発見は、理論的な欠陥と実用的な悪用との間の溝を埋める最先端AIの役割です。これらの脆弱性は10年以上PHPのコードベースに存在していましたが、複数のメモリバグを連鎖させ、異なるサーバー構成に適応させる複雑さは、人間の研究者が大規模に悪用することを困難にしていました。研究チームは、Gemini 4 ArgonやGPT-5.6 Solなどのモデルを利用して、異なる環境におけるエクスプロイトのテスト、デバッグ、および適応を自動化しました。この能力の変化は、AIがメモリレイアウトや構成の細かな違いをナビゲートするために必要な複雑な手順を迅速に反復できるため、複雑性がもはや悪用に対する十分な障壁として機能しない可能性を示唆しています。PHPはその後、これらのコアエンジンの欠陥に対処するためのパッチをリリースしており、影響を受けるすべてのシステムに対して即時のアップデートが推奨されています。