何が起きたか
10月21日、PHP FoundationはPHPにおけるCVE-2026-109618およびCVE-2026-109619（CVSS 9.2、「php2shell」）を公開した。これにより、約70%のウェブサイト（PANWによると2,260万の脆弱なインスタンス）で未認証のRCE/メモリ開示が可能となる。これらの欠陥は8月1日からAI支援研究により独立して発見された（Calif.ioがOpenAI GPT-5.6 Solを使用、さらにOpenAIとWizも関与）。OpenAIのPatch the Planetイニシアチブを通じて調整され、Cloudflareは公開の約9時間前に新しい全トランザクション検出機能を用いてWAF対策を事前展開した。
なぜ重要か
調整された開示プログラムにおいてフロンティアAIによって発見された初のインターネット規模の重大な脆弱性である。これは、エージェント型の脆弱性発見を防御側の能力として実証する一方で、機械速度のエクスプロイト競争を浮き彫りにするものであり、今週のAWS Continuumの33/37 CVEという結果と呼応している。
適用範囲
すべてのウェブ/WordPress運用者は直ちにPHPをパッチ適用（8.5.12/8.4.27/8.3.36/8.2.35）し、WAFルールを有効に保つべきである。セキュリティチームは、AI支援による脆弱性発見プログラムをCVEトリアージの主流のインプットとして扱うべきである。