水曜日、何十年も前からあるオープンソースのウェブ技術「PHP」が、2つの脆弱性のおかげでインターネットをほぼ破壊しかけた。これらの脆弱性は何年も休眠状態だったが、最近研究者が悪用方法を突き止めた。バグは「PHP2Shell」と呼ばれ、正式にはCVE-2026-109618およびCVE-2026-109619として指定されている。簡単に言えば、これらのバグは、悪用方法を知っている者なら誰でも、パスワードなしでPHPを実行しているオンラインシステム（ウェブサイトやインターネットに面したサーバーなど）に侵入し、データにアクセスしたり改ざんしたりできるようにする。状況としてはかなり大規模なもので、世界中の何百万人もの人々が、悪意あるハッカーに悪用される前にシステムにパッチを当てようと奔走することを余儀なくされた。

PHPウェブソフトウェアを維持するPHP Foundationは水曜日、バグを修正するパッチを公開した。インストールすれば、ウェブに面したサーバーが攻撃されるのを防ぐ。財団はすでに、PHPに依存する最大手のインターネット企業やウェブホストの一部に、パッチ適用の先行スタートを切らせていた。数週間にわたる舞台裏の話し合いと業界全体の慎重な調整のおかげで、世界はこれまでのところ、大規模なインターネット悪用を広く回避している。水曜日から、各国政府は市民やウェブサイトを持つ企業に対し、それぞれの側でリスクを軽減する行動を取るよう促し始めた。幅広い業界がウェブサイトを閉鎖し、システムにパッチを当てるためにサービスをオフラインにした。銀行、小売店、ゲームサイト、オンラインストア、病院、一部の政府機関が攻撃を防ぐためにサーバーを停止した。しかしセキュリティ研究者は、状況はまだ終わっておらず、世界中の多数のシステムが未パッチのままでハッキングやデータ窃盗に対して脆弱であると警告している。これはまた、最後の大規模なインターネットソフトウェアの恐怖劇になる可能性は低く、AIの出現により、まだ発見されていない脆弱性が急速に明らかになり、悪用されることを期待する声もある。

カリフォルニアのセキュリティ研究者は、PHPに2つのバグを発見した。PHPは、ウェブサイトやウェブアプリの構築に世界中で広く使われているプログラミング言語で、インターネット上でも、企業ネットワーク内のイントラネットや内部サイトのようにローカルにホストされる場合もある。PHPはオープンソースであり、無料で、ほとんどどんな理由でも誰でも使用できる。そのため、今日のウェブ上で最も人気があり、広く使われているウェブプログラミング言語の1つとなっている。2つのバグは2024年に初めて発見されたが、当時は悪用可能とは見なされず、パッチも当てられなかった。セキュリティ研究者が最近それらを悪用する方法を見つけ、ソフトウェアの製作者に修正を促す警告を出した。カリフォルニアはPHP Foundationに警告し、財団はバグの修正と調整された開示の期間を開始した。財団は、大企業が修正プログラムのインストールを先行できるよう、セキュリティ問題に関する情報とパッチを厳重に管理された embargo（特定の期限まで機密保持）の下で提供することでこれを行った。

PHP2Shellは、インターネット経由でリモートから悪用でき、被害者がリンクをクリックしたりファイルを開いたりする必要がないため、かなり深刻である。これはリモートコード実行として知られ、悪用されるバグの中でも特に被害が大きい種類の1つである。なぜなら、世界中のどこにいるハッカーでも、影響を受けた未パッチのシステムを実質的に完全に制御できるようになるからだ。さらに悪いことに、これらの特定のPHPバグにより、インターネット上の未パッチのシステムに、パスワードやその他の資格情報を必要とせずに侵入することが可能になる。これは認証なしアクセスとして知られている。これにより、悪意あるハッカーはコンピュータにマルウェアを仕込み、データを盗んだり、後で戻ってくるための長期的な足場を維持したりできる。

これらのバグは、PHPが非常に人気のあるソフトウェアであるため特に危険である。一部には無料で比較的使いやすいからという理由もあるが、何十年も存在しているからでもある。ウェブに面したインターネットの約70％がPHPに依存しているが、その使用率は年々、より新しい技術に取って代わられて徐々に減少している。