Califが「GPT-5.6 Sol」でPHPの重大な脆弱性の1つを特定。OpenAIは同様の発見が数か月で急増と予測

米OpenAIは10月21日、ウェブサイトなどを動かすプログラミング言語PHPで見つかった重大な脆弱性2件への対応を発表した。同社が進める「Patch the Planet」の取り組みで、セキュリティ企業のCalifが、OpenAIのモデル「GPT-5.6 Sol」を使って重大な脆弱性の1件を特定した。セキュリティ企業のWizも、2件とも独自に見つけて報告した。

PHPのプロジェクトは同じ21日、2件を修正した8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう強く勧めた。2件はCVE-2026-109618とCVE-2026-109619で、認証なしに遠隔からコードを実行されるおそれがある。PHPのセキュリティチームは2件とも、CVSS v4.0で10点満点の9.2と評価した。

対象は、動かし方を問わずウェブのリクエストを処理するPHPの環境で、8.2〜8.5の各系列では修正版より前の版が影響を受ける。PHPのプロジェクトによると、完全な緩和策はなく、更新だけが安全な対応になる。Linuxのディストリビューションなどには修正が事前に渡っており、提供元の更新を確かめるよう求めた。8.1以前の版については、同プロジェクトから更新が出なくなったとして、提供元に問い合わせるか、サポート中の版に移るよう促した。ただし同プロジェクトは、7.4〜8.1向けにもソースに当てる最小限の修正を出した。

OpenAIによると、同社は過去2か月、PHPのメンテナーや研究者、セキュリティ企業の連合を率いて対応を進めた。修正と公開は、PHPのメンテナーが主導した。OpenAIは、運用者が脆弱なおそれのある版を見分け、適用する更新を判断する助けとして、チェッカーをCodexのスキルとして公開した。

同社は、知る限りでは攻撃者より先に最先端のAIが2件を見つけたとする一方、同じ能力は攻撃者が攻撃ツールを素早く作る助けにもなりうると指摘した。同社によると、今回の2件は、同社がすでに見つけて修正を進めている複数の大きな脆弱性に含まれ、同様の発見は今後数か月で急増する見込みだ。あわせて、広く使われるソフトウェアで重大な脆弱性が見つかったときの対応の進め方を案として示し、セキュリティの関係者に改善への協力を求めた。

【関連サイト】OpenAI「Patch the Planet: global response coordination as agents uncover critical vulnerabilities」

【関連サイト】PHP「News Archive – 2026」