OpenAIは10月21日、自社の脅威インテリジェンス計画「Patch the Planet」が、ウェブサイトの約7割で使われるPHPのコア処理に存在する重大なリモートコード実行の脆弱性2件(「PHP2Shell」と呼ばれる、CVE-2026-109618およびCVE-2026-109619)を発見したと発表した。
発見にはOpenAIの内部モデル「GPT-5.6 Sol」が使われ、セキュリティ企業Wizも独立して同種の脆弱性を発見・報告していたという。OpenAIはPHP開発チームや複数のセキュリティ企業、米CISA・ONCDをはじめとする各国の政府機関と約2カ月にわたり協調してパッチ開発を進め、10月21日に修正版(PHP 8.2.35、8.3.36、8.4.27、8.5.12)を一斉公開した。脆弱性のCVSS v4スコアは9.2と評価されている。
公開に先立ちCloudflareはWAF(Webアプリケーションファイアウォール)による緩和策を展開し、米NSAも管理者に対して、速やかな対応が難しい場合はシステムをネットワークから切り離すよう勧告した。WordPressやDrupal、Joomlaなど主要CMSを対象にした概念実証コードの存在も報告されており、攻撃者に先んじてAIが脆弱性を発見・対処した事例として注目されている。
出典: Fortune
