この1週間、数千もの主要サイトに影響を及ぼし、人々を恐慌に陥れる深刻かつ重大なソフトウェアの脆弱性が次々と見つかりました。PHPにおける2件のリモートコード実行（RCE）の脆弱性は、PHP2Shellと名付けられ、CalifとWizという別々のセキュリティチームによって発見されました。両チームとも、脆弱性の発見と実用的なエクスプロイトの作成にフロンティアAIモデルを使用しました。推定では、この脆弱性はインターネットの70%以上に影響を及ぼす可能性があり、Wikimedia Foundation、DeviantArt、英国政府の大部分、日本の銀行システム、BBCの『The Traitors』のサイトなど、数千のウェブサイトが影響を受けたとされています。
この脆弱性のひとつであるCVE-2026-109618は、実は、Sovereign Tech Agencyが資金を提供するPHP Foundationが2024年に実施したセキュリティ監査で既に指摘されていました。チームはより大きな懸念事項があったため脇に置き、修正方法について合意に至りませんでした。理論上の問題から実際のエクスプロイトを作ることは誰にもできないと考えたのです。しかし、AIモデルがその前提を覆しました。AIは曖昧な脆弱性の説明を完全なエクスプロイトに変換するのが非常に得意で、エージェントはパッチの公開直後にパッチの差分をスキャンし、欠陥を逆にたどることができるようになったのです。
当該CVEについて、petecooperというユーザーがエンバーゴ（公開停止期間）の存在を知らずにHacker Newsに投稿したことで、エンバーゴは崩壊しました。PHP Groupは慌ててパッチの公開を木曜日の22日から水曜日の21日に前倒ししましたが、修正版はさらに1日後に公開予定でした。また、漏洩したCVSSスコア10.0は不正確で、実際のスコアは9.2でした。パッチが公開された時点では、この脆弱性は既に野生で悪用されていました。
PHP Foundationは、エクスプロイトの動画を漏らしたとされるCalif、そしてエンバーゴ解除の6時間前に修正版を公開したChainguardを非難しました。事の経緯は混乱していますが、関連する複数の失敗が重なったことで、管理者がパッチを適用する前に攻撃者がシステムに到達できてしまったようです。
出典: Hacker News · 要約：HeadlinesBriefing