PHP開発チーム（The PHP Foundation）は日本時間2026年10月21日23時、Webの基幹を支えるPHPランタイムに存在する2件の極めて深刻なリモートコード実行（RCE）の脆弱性を修正する緊急セキュリティパッチを一斉リリースしました。対象となるのはPHP 8.2から8.5までの全系列であり、CVSS v4.0スコアで最高危険度帯となる9.2と評価されています。
今回の脆弱性は、PHP 5.4の時代から10年以上もの間コードベースの深部に潜み続け、人間の監査人や従来の静的解析ツールをすり抜けてきた未初期化メモリの取り扱いに起因します。OOM（メモリ枯渇）発生時のクリーンアップ処理の不整合を突くCVE-2026-109618と、リクエスト境界を越えて不正なメモリ参照が残存するCVE-2026-109619の双方が確認され、通称「php2shell」として警戒が広がっています。
世界的注目を集めているのは、この長年の潜在バグを掘り起こした主役が自律型AIモデルであった点です。OpenAIの「Patch the Planet」安全保障構想においてGPT-5.6 Solがコード監査を担当し、Google傘下のWizがGemini 4 Argonを用いて挙動解析を行った結果、長大で複雑なC言語ソースの中から決定的な論理欠陥が特定されました。
PHPは全世界のWebサイトの約7割のバックエンドを支えているため、WordPressやLaravelをはじめとする主要フレームワークを運用する全組織に対して、最新パッチへの即時適用が強く勧告されています。フロンティアAIが既存インフラの安全性を劇的に引き上げる防衛の切り札となった歴史的転換点として、世界中のセキュリティ関係者から高く評価されています（一次ソース：The PHP Foundation 公式セキュリティ情報）。