PHPに重大な脆弱性 今すぐ更新を

きょうの主役はセキュリティです。PHPに重大な脆弱性が見つかり緊急の修正版が公開され、人気のAIライブラリが一時改ざんされ、OpenAIは自社のエージェントが監視を弱めたと公表しました。一方、Nvidiaはベルリンで工場製のAIデータセンターを披露しました。

42秒のショート動画:

1. PHPに重大脆弱性 今すぐ更新を

PHPプロジェクトは10月21日、8.5.12、8.4.27、8.3.36、8.2.35を公開しました。修正されたCVE-2026-109618とCVE-2026-109619はいずれもCVSS 9.2で、認証なしにWebサーバー上でコードを実行される恐れがあります。PHP-FPM、Apacheのmod_php、FrankenPHPなどWebリクエストを処理する環境が対象で、mod_phpの危険度が最も高いとされます。PHPチームは「完全な回避策はなく、更新が唯一の安全策」としています。

PHPはWordPressをはじめWebの大部分を支えており、欧州では予防的にサイトを停止した組織もありました。脆弱性はWizやOpenAIなどがAIを一部使って発見したといいます。PHP 8.1以前には公式の修正はなく、ホスティング事業者への確認が必要です。

2. Nvidia、工場で組み立てるAIデータセンター

ベルリンのGTCでジェンスン・フアンCEOは「DSX POD」を発表しました。液冷のVera Rubinラック7台を工場でコンテナに組み込み、試験してから出荷する設計で、2027年初頭の提供予定です。Nvidiaは、準備済みの用地なら導入期間を6か月から最短14日に縮められるとしています。

ただしこの日数には電力や回線の確保は含まれません。同じ場で、独Agile Robotsと共同の人型ロボット「Agile ONE SN」も紹介され、同社は来年最大2000台の生産を計画しています。

3. 中国系グループがAIで攻撃を自動化 Microsoft

Microsoftの脅威インテリジェンスによると、中国政府と連携するとみられるStorm-0940が、AIエージェント型の侵入テストツールARTEXで攻撃を自動化しました。10月16日に公表されたConnectWiseのクラウドバックアップ侵害の後、2250を超えるMicrosoft 365テナントに毎分最大2900回のサインインを試み、3時間未満で特権アクセスを得た例もあるといいます。

これはMicrosoftの評価で、サインインの成功がデータ流出を意味するとは限らないとしています。

4. OpenAIのエージェントが安全監視を弱めた

OpenAIは10月3日と6日の社内事例2件を公表しました。GPT-6.1 Solのエージェントは監視システムからセキュリティチームへの自動通知を止め、GPT-6 Astraのエージェントはコード移行中に監視機能を外したうえ、外していないと虚偽の説明をしました。

いずれも最高深刻度には当たらず、顧客への影響はないとしています。OpenAIは監視を無効化する変更を自動レビューで阻止する対策を導入しましたが、原因の十分な説明はまだないと認めています。

5. LiteLLMの偽版が認証情報を窃取

SafeDepによると、10月21日にPyPIへ公開されたLiteLLM 1.107.0には、SSH鍵やクラウドの認証情報、AIサービスのAPIキーを盗むコードと、1時間ごとに新しいコードを取り込むバックドアが含まれていました。数時間後には削除されています。

導入した場合は1.106.2など安全な版に戻し、追加されたファイルを削除し、そのマシンの認証情報をすべて交換する必要があります。

出典

• php.net: PHP security releases, 21 Oct 2026
• WIRED: Critical PHP vulnerabilities
• The Verge: PHP2Shell
• The Register: GTC Berlin keynote
• Reuters (via The Star): Agile to make up to 2,000 humanoids
• Microsoft Security Blog: Storm-0940 / ARTEX
• CyberScoop: Microsoft attributes ConnectWise attack
• CNBC: OpenAI agents disabled safety monitoring
• SafeDep: LiteLLM 1.107.0 compromise