WordPressやPHP製のアプリケーションでサイトを運営しているなら、この記事をぜひ読んでみてください。OpenAIがPHPの重大な脆弱性に関する共同対応を公表し、PHPプロジェクトからも修正版が公開されました。まず確かめたいのは、自分のサイトで実際に動いているPHPに、修正が適用されているかどうかです。

何が発表されたのか

OpenAIによると、セキュリティ研究チームのCalifは「Patch the Planet」の取り組みでGPT‑5.6 Solを使い、重大な脆弱性を発見しました。Wizも独立して2件の脆弱性を発見・報告しています。修正を主導したのはPHPのメンテナーで、OpenAIや協力企業は調査、技術支援、関係者間の調整に参加しました。

OpenAI自身のシステムに侵入があったという発表ではありません。また、PHPを使うサイトが多いからといって、その数だけ被害が出ているともいえません。脆弱性があることと、実際に侵入されたことは分けて考える必要があります。

プラグインの更新だけでは直らない理由

今回の脆弱性はCVE-2026-109618とCVE-2026-109619で、CVSS v4.0のスコアはいずれも9.2です。条件がそろうと、認証を受けていない攻撃者がリモートでコードを実行できる可能性があります。サイトへのログインを経ずに、Webワーカープロセスの権限で攻撃者のコードが動くおそれがある、ということです。ただし、それだけでシステムの最高権限まで得られるわけではありません。

一方はメモリ不足が起きたときの処理、もう一方はリクエストをまたいで残る内部状態の扱いに関係しています。問題があるのはPHPそのものなので、WordPressのプラグインだけを更新しても解決にはなりません。

PHPの注意喚起は、Webリクエストを処理する環境を対象としており、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedが含まれます。PHPプロジェクトはmod_phpのリスクが最も高いとしています。ただし、具体的な攻撃経路は動作方式や設定、アプリケーションによって変わるため、FPMなら無関係とは判断できません。

修正版を入れた後も確認が必要

公開された修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。該当する系列を使っている場合は、PHPまたはOSの提供元が案内する方法で、対応する更新を速やかに適用してください。

運営者が気をつけたいのは、「更新をインストールした」と「サイトが更新後のPHPで動いている」の違いです。サーバーに複数のPHP環境があれば、端末で表示されるバージョンとWebサイト用のバージョンが異なることもあります。必要なプロセスの再起動や再デプロイを提供元の手順に沿って行い、実際のWeb実行環境まで確認したいところです。

レンタルサーバーやマネージドホスティングを使っているなら、「この2件のCVEへの修正は自分のサイトにも適用されていますか。修正済みのPHPでサイトが動いていますか」と問い合わせると話が早くなります。「最新版ですか」だけでは、必要な確認が抜けるかもしれません。

古いPHPについては、バージョンの数字だけで判断できない場合があります。PHP 8.1以前はPHPプロジェクトの通常サポートを終了していますが、一部のLinuxディストリビューションや長期サポート事業者は修正をバックポートします。PHPのセキュリティチームも今回は7.4、8.0、8.1向けに限定的なソースコードのバックポートを提供していますが、通常サポートの再開ではありません。パッケージ更新やソースコードへの修正で対応できるか、提供元に確認しましょう。利用できる修正がなければ、サポート中のバージョンへの移行を急ぐ必要があります。

急ぎの更新でも、復旧の準備は忘れずに

今回の更新は、優先度の高い保守作業として扱うことを勧めます。そのうえで、復元可能なファイルとデータベースのバックアップを確保し、重要な拡張機能やアプリケーションの互換性を確認しておくと安心です。更新後は、ログイン、フォーム、決済など、自分のサイトに欠かせない機能を確認しましょう。準備や確認は更新のリスクを抑えるためのもので、修正をいつまでも先送りする理由にはできません。

PHPは暫定的な緩和策も示していますが、それだけでは脆弱性を完全に解消できないと明記しています。設定変更には、アップロードやメモリ使用量、サービスの稼働への影響もあります。すぐに更新できない場合は、ホスティング事業者や管理担当者に環境に合った対応を相談し、正式な修正を適用する予定まで決めておくのがよいでしょう。

なお、OpenAIが言及したCodex向けの確認スキルは、今後提供する予定のものです。その公開を待たずに、現在の環境を確認できます。

AIが発見に貢献した点は、このニュースの大きな見どころです。サイト運営者にとっては、修正を実際に稼働しているサーバーへ適用することが次の課題になります。PHPを使っているか分からなければ、バックエンドや関連サービスの構成を確認してみてください。今回の注意喚起は、すべてのWebサイトが影響を受けるという意味ではありません。

本記事は2026年10月21日時点の公開情報に基づいています。個別のサイトを対象とする脆弱性テストは行っていません。