AIがPHP本体に潜む10年来のRCEを暴き、WordPress・Drupal・Joomlaを認証なしで掌握

PHP2Shell: AI uncovers critical RCE in PHP

Wiz Researchは、PHPのコアエンジンに存在する複数のメモリ安全性脆弱性を発見した。致命的エラー処理の不備に起因し、認証なしのリモートコード実行やプロセスメモリの漏えいが可能で、PHP 5.4以降のほぼ全バージョンが影響を受ける。WordPress、Drupal、Joomlaの最新コンテナで実際に攻撃を実証。10年以上隠れていた欠陥の悪用化には高度な連鎖が必要だったが、Gemini 4 ArgonやGPT-5.6 SolなどのフロンティアAIがその障壁を大きく下げた。PHPチームは2026年10月21日に修正版を公開している。