This post is also available in:
PHPの重大脆弱性が2件公表されました(CVE-2026-109618、CVE-2026-109619)。いずれも、CVSSスコア9.2の深刻な脆弱性です(技術的な詳細はUnit 42 Threat Briefをご参照ください)。
本件は、過去の重大脆弱性の公表とは意味合いが異なります。近未来を方向付ける、サイバー脅威の大幅な高速化の始まりを告げる出来事です。PHPは世界中で広く利用されているため(一部推計では、全Webサイトの半数超)、その規模は膨大です。この新たな現実に対処するには、緊急の取り組みが必要です。例として、攻撃者によるコードの武器化に先んじたプロアクティブで継続的な脆弱性調査や、従来のパッチとリアルタイムの仮想パッチを組み合わせた現代的な防御戦略が挙げられます。危険にさらされる2,200万件のインスタンスの規模から、手作業の是正サイクルだけに頼ることは現実的な対策ではありません。Web上の資産を危険にさらしたまま、手作業のパッチ適用を待つべきではありません。 こちらから、Frontier Virtual Patchingによる公表前の脆弱性に対する即時の保護と、専門家への相談をお申込みいただけます。
参考として、エクスポージャは一般的に数千・数万件の規模です。例えば、先日のNetScalerの脆弱性で影響を受けた、脆弱な可能性があるインスタンスは約50,000件でした。また、CVE-2026-1731に脆弱な可能性があるBeyondTrustインスタンスは約16,000件が影響を受けました。広く利用されるオープンソース ソフトウェアでは、エクスポージャの規模が桁違いです。
今回の事態は、ブログ記事「フロンティアAIのサイバーセキュリティへの影響についての防御担当者向けガイド」で示した内容の実例です。世界は正式に新たな現実に突入しており、これが絶えず繰り返されることになります。
高速化するサイクル
最新のフロンティアAIモデルには、コードの脆弱性を発見する並外れた能力があります。フロンティアAIモデルが過去にないペースで深刻な問題を発見し続ける状況を、目の当たりにすることでしょう。
しかし、ここで問題があります。脆弱性のパッチが公開されると、攻撃者はパッチをリバース エンジニアリングして根本原因を突き止め、ほぼリアルタイムに攻撃します。全システムにパッチを適用するには、時間がかかりすぎます。この脆弱性の氾濫に対処するには、緊急性と、仮想パッチなどの新たなテクノロジが必要です。
今すべきこと
(1) オープン ソース インベントリの評価
新たな重大脆弱性をフロンティアAIが発見する空前のスピードを考慮し、組織の真のエクスポージャを即座に把握する能力が必要です。コードベースとサプライチェーン全体から死角を発見するため、アタックサーフェス管理ソリューションの重要性がこれまで以上に高まります。見えないものを守ることはできません。
加えて、Unit 42 Continuous Frontier AI Defenseなどのサービスを利用し、サイバー防御専用のAIモデルを入手することで、攻撃側の武器化に先んじた脆弱性の検出と修正が可能です。
(2) 到達可否に応じた是正措置の優先順位付け
攻撃者が到達可能な対象を減らす必要があります。あらゆる場所ですべての対象にパッチを即時適用することはできません。よって、攻撃経路の到達可否に応じて、何を最初に修正する必要があるか、優先順位を付けます。公衆インターネットへのアクセスが必要な対象の安全を確保して環境を評価し、危険なPHPインスタンスの中で最も切迫したリスクがあるものを把握します。例として、Cortex Xpanseとエクスポージャ管理機能は到達可否の判断と是正措置の自動化に役立つツールです。
(3) AIデプロイのセキュリティ
今回のPHP脆弱性の主な焦点ではないものの、組織全体でAIが急速にデプロイされ、アタックサーフェスが拡大しています。AIのデプロイはすべて、安全なAIデプロイでなければなりません。
(4) 緩和措置と、攻撃に対する保護の確保
開発チームとパッチ適用を調整する間に、現実のエクスプロイトを防ぐため、最高クラスの保護を確実に導入するべきです。予防的な仮想パッチと全体的なエクスポージャの削減を通じて、潜在的な攻撃を即座に緩和できます。ネットワークとクラウド セキュリティ全体に高精度な仮想パッチをデプロイして緩和レイヤーを提供することが、実際のソフトウェアを安全にアップデートするために必要な時間の確保に欠かせません。
最新機能Frontier Virtual Patchingは、本日の公表に先んじて、今回のPHP脆弱性に対する予防的な保護を提供済みです。また、パロアルトネットワークスのお客様については、弊社の次世代ファイアウォールとPrisma Access上で利用可能なAdvanced Threat Preventionにより、今回の脆弱性のエクスプロイトから保護されています。
(5) リアルタイムのセキュリティ運用を展開
自律的なAI駆動型攻撃は、攻撃のライフサイクルを数分単位まで短縮し、すべてのSOCが1桁の平均検出時間(MTTD)および平均応答時間(MTTR)の達成を求められます。
今後の見通し: サイバー防御の制度化
今回の事案は一過性ではありません。フロンティアAIがパッチ公開からエクスプロイトまでの時間を数分に短縮する状況では、エクスポージャの評価、到達可否に応じた優先順位付け、緩和措置、攻撃に対する保護の確保を、自動化された継続的な活動に発展させる必要があります。
これは転換点です。フロンティアAIが突き付ける課題の規模は本物ですが、弊社には解決する能力があると確信しています。今すぐ安全確保に着手し、防御側が主導権を握り続けるために必要な基礎を固めることが必要です。