2026.10.22

WordPressなどを動かす「PHP」に、重大な弱点が2つ。AIが攻撃者より先に見つけ、10月21日に修正版。8.5.12・8.4.27・8.3.36・8.2.35への更新を

キラ

記事内に商品プロモーションを含む場合があります

・Webサイトを動かすプログラミング言語「PHP」の開発チームが2026年10月21日、外から勝手にプログラムを動かされるおそれのある重大な弱点2つを直した版を公開し、すぐに更新するよう呼びかけた

・直った版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35。Webのリクエストを受けるすべてのPHPが対象で、PHP 8.1以前は公式の更新が終わっている

・弱点の1つは、OpenAIの取り組み「Patch the Planet」の中で、セキュリティ会社がOpenAIのAIを使って見つけた。OpenAIは「AIが攻撃者より先に見つけた」とし、守る側が準備する時間をつくれたとしている

Webサイトを動かすプログラミング言語「PHP」の開発チームは2026年10月21日、重大な弱点2つを直した新しい版を公開しました。

PHPは、WordPressをはじめ、世界の多くのWebサイトやお店のシステムを動かしているプログラミング言語です。今回の弱点は、ログインしていない外部の人に、サーバーの上で勝手にプログラムを動かされるおそれがあるもので、PHPの開発チームは「すべての利用者が、すぐに更新すること」を強くすすめています。

この記事では、PHPの開発チームとOpenAIの発表で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

直った版は8.5.12・8.4.27・8.3.36・8.2.35

まずは、何をすればよいかです。

PHPの公式サイトの案内によると、対応は次のとおりです。

使っているPHP	すること
8.5	8.5.12に更新する
8.4	8.4.27に更新する
8.3	8.3.36に更新する
8.2	8.2.35に更新する
8.1以前	PHPの開発チームからの更新は終わっている。サーバーの会社などが独自に直していないかを確かめるか、サポートが続いている版に上げる

PHPの開発チームは、Webのリクエストを受けるすべてのPHPが危険にさらされるとしています。サーバーでのPHPの動かし方によって危険の大きさは違い、とくに危険が高い動かし方もあると説明しています。

Linuxの配布元や、長期の保守を請け負う会社には、前もって修正が渡されていたとしています。すぐに更新できない場合のための、一時的に危険を減らす設定も案内していますが、「完全な解決は更新だけ」と書いています。

AIが見つけ、守る側が先に準備した

次に、弱点が見つかった経緯です。

OpenAIの発表によると、次のような流れでした。

・OpenAIは「Patch the Planet」という取り組みで、広く使われるソフトの弱点への対応を手伝っている

・セキュリティ会社のCalifが、OpenAIのAI（GPT-5.6 Sol）を使って重大な弱点を見つけた。セキュリティ会社のWizも、2つの弱点を別に見つけて報告した

・PHPの開発チームが修正と公開を進め、OpenAIやWiz、Cloudflareなどが、調査や、公開前の守りの準備を手伝った

・米国の政府機関などとも連携し、大事なシステムを持つ組織に情報が届くようにした

OpenAIは、PHPが広く使われていることから、今回を「近年で最も影響の大きいセキュリティの問題の1つ」としています。そして、知るかぎり、AIは攻撃者より先にこの弱点を見つけ、守る側が修正と守りを準備する時間をつくれた、と説明しています。

OpenAIは、守る側への支援を広げる

ここで、OpenAIのほかの取り組みも見ておきます。

・PHPの版を確かめるための道具を、プログラム作りのAI「Codex」の機能（スキル）として公開した

・セキュリティの人手が少なく、大事なサービスを守っている組織のために、セキュリティのAIを安く使えるよう、合わせて10億ドル分を用意した

・同じような重大な弱点の発見は、これから数か月で急に増えると見込み、AIの時代に合った対応の手順を提案した

OpenAIは、AIは守る側の助けになる一方で、同じ力が攻撃する側の道具づくりを速めるおそれもあると書いています。

仕事はどう変わるか：サイトの「ソフトの更新」は、後回しにできないものになる

ここからは、公式の発表をもとにした僕の見方です。

今回の出来事で変わるのは、サイトの「更新の考え方」だと考えています。

これまで、サーバーのPHPの版を気にするのは、詳しい人やサーバーの会社の仕事でした。ところが、AIが重大な弱点を次々に見つけるようになると、見つかってから攻撃に使われるまでの時間も短くなります。国内のサイトに、AIエージェントによる攻撃がすでに来ていることも報告されています（AIエージェントの攻撃の記事）。更新の知らせが出たら、すぐに当てる、という習慣が、小さなサイトでも欠かせなくなります。

WordPressでブログやお店のサイトを動かしている個人事業主にとっても、今日のうちに、使っているPHPの版を確かめ、サーバーの会社の案内に沿って更新しておくことが、いちばん確かな守りになります。

あわせて、知っておきたいこともあります。

・WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の欄で、PHPの版を確かめられる

・レンタルサーバーでは、PHPの更新はサーバーの会社が行うことが多い。管理画面やお知らせで、対応の状況を確かめる

・PHP 8.1以前を使っている場合は、早めにサポートが続いている版へ上げる。上げる前に、サイトのバックアップを取っておく

まとめ：PHPに重大な弱点、8.5.12・8.4.27・8.3.36・8.2.35へ更新を。AIが先に見つけ、守る側が先手を打った

PHPの開発チームは、外から勝手にプログラムを動かされるおそれのある重大な弱点2つを直した版を公開し、すぐの更新を呼びかけました。弱点の1つは、OpenAIの取り組みの中で、AIを使って見つかったものです。

AIが攻撃者より先に弱点を見つけ、守る側が先手を打てた一方で、サイトを持つ人にとっては、更新を後回しにできない時代になった、というのがいちばん大きな学びです。

WordPressなどでサイトを動かしている人は、今日のうちにPHPの版を確かめ、更新しておくのがよさそうです。

出典

・PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日） https://www.php.net/

・OpenAI「Patch the Planet: global response coordination as agents uncover critical vulnerabilities」（2026年10月21日） https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/

#OpenAI #WordPress #セキュリティ

ABOUT ME