これまでの経緯

これまでの経緯については、以下の記事をご覧ください。 - PHPに緊急脆弱性、CVE-2026-109618とCVE-2026-109619が発覚—AI活用で特定、即時パッチ適用が必須 - PHPに緊急の脆弱性修正、サプライチェーン企業が情報漏洩に関与か

誤解と真実：PHP脆弱性の悪用難易度

PHP脆弱性CVE-2026-109618他：実環境での悪用は困難—AI生成PoCの誤解と真実のイメージ画像

PHPの緊急脆弱性（CVE-2026-109618およびCVE-2026-109619）が発表されて以来、その悪用可能性について多くの議論が交わされています。しかし、Hacker Newsに掲載された記事（Hacker News）によると、この脆弱性はLog4ShellやHeartbleedのような「容易に悪用可能な」タイプではないと指摘されています。記事の筆者は、多くの開発者がAI、特に大規模言語モデル（LLM）によって生成された概念実証（PoC）コードに惑わされていると考えているようです。

「このPHP脆弱性は、思われているほど悪用可能ではないと考えます。5年前なら皆理解できただろうに、今はLLMが機能しない悪用コードを教えているせいで、皆惑わされています。」

AI生成PoCの落とし穴：実環境での不動作

PHP脆弱性CVE-2026-109618他：実環境での悪用は困難—AI生成PoCの誤解と真実のイメージ画像

現在GitHub上には、この脆弱性に対する「数千もの」PoCが存在すると言われています。しかし、それらのほとんどは「バニラPHPインスタンス」、つまり標準的なPHP環境では動作しないとのことです。

筆者は、Dockerで脆弱性があると思われているPHPサーバーを立て、PoCを自分で実行してみることを推奨しています。LLMにPoCの実行を任せるのではなく、実際に自分の手で検証することの重要性を強調している点は、非常に納得感があります。

多くのPoCの共通点として、脆弱性を引き起こすために「LFI（ローカルファイルインクルージョン）」を前提条件としていることが挙げられます。これは、「サーバーに既に深刻なコードレベルの脆弱性があること」を意味します。

もし既にファイルシステムにアクセスできるような脆弱性が必要なのであれば、それは今回のPHP脆弱性自体の「深刻なバグ」とは言えないでしょう。このような前提条件は、脆弱性の悪用難易度を劇的に引き上げる要因となります。

LLMの「判断」と開発者の責任

筆者は、多くの開発者がAIに「設計上の判断」を委ねすぎている現状に警鐘を鳴らしています。LLMは確かに強力なツールですが、その出力が常に正しいとは限りません。

特にセキュリティの分野では、AIが生成したコードや分析結果を盲信するのではなく、開発者自身がその妥当性を評価し、検証する責任があります。今回のPHP脆弱性に関するPoCの状況は、AIツールの利用における重要な教訓を示していると言えるでしょう。

「多くの人がClaude/GPTに設計上の判断を任せすぎていること、そしてAIが最大の嘘つきであることについて、ここで重要なことを述べておくべきです。」

なお、VulnCheckの研究者は、新しいエクスプロイトがx86-64サーバー上のASLR（アドレス空間配置のランダム化）を迂回できることを示し、攻撃者がAIを使ってさらに多くの攻撃方法を見つけていると警告しています（The Register）。この点は、AIの進化が攻撃手法の高度化に寄与する可能性を示唆しており、注意が必要です。

エンジニア目線で見ると：パッチ適用は必須だが冷静な判断も重要

今回のPHP脆弱性に関する議論は、多くのエンジニアにとって非常に示唆に富む内容だと感じます。特に、LLMが生成するPoCの信頼性について疑問を呈している点は、私自身のClaude Codeを使った開発経験からも共感できます。AIは強力な開発支援ツールですが、特にセキュリティのようなクリティカルな領域では、その出力を鵜呑みにせず、常に自身の知識と経験に基づいて検証する姿勢が不可欠です。

GitHubに大量に存在するPoCが、実際には特定の環境でしか動作しない、あるいは別の深刻な脆弱性を前提としているという指摘は、一見すると危険に見える情報が、実はそこまで実環境での脅威ではない可能性を示しています。しかし、だからといってパッチ適用を怠ってよいわけではありません。脆弱性が存在すること自体は事実であり、長期的に見ればより高度な悪用手法が開発される可能性もゼロではありません。

私としては、GCPのCloud RunやCloud Functionsといったマネージドサービスを利用している場合、PHPアプリケーションの運用環境はベンダーによって常に最新の状態に保たれているため、直接的な影響は少ないと考えます。しかし、自社でPHP環境を構築・運用しているエンジニアの方にとっては、今回の情報がリスク評価の助けになるのではないでしょうか。AIを活用したセキュリティ診断ツールなども登場していますが、その結果も盲信せず、常に多角的な視点から評価することが重要だと改めて感じます。