朝7時に届く脆弱性の通知で、最初に困るのは深刻度の読み方より「うちは関係あるのか」という問いです。Cloudflareが公開したZero Wireは、その問いに答える順序を1枚のカードに組み直しました。自社WAFの限界まで書き込んだこの設計は、誰が何を先に判断するのかを問い直しています。
Cloudflareは2026年11月3日、脆弱性インテリジェンスの公開フィード「Zero Wire」を発表した。Cloudflare Radarのセキュリティ欄に置かれ、インターネットに公開されたソフトウェアの重大なCVEを中心に扱う。各ブリーフィングは、平易な説明、調査すべき担当、推奨する対応、証拠とベンダー指針へのリンクをまとめ、AIエージェントに読み取り専用の評価を依頼するプロンプトも備える。情報はCloudflareの顧客かどうかを問わず役立つとしており、WAFによる保護は掲載の条件ではない。
同社はWAFによる緩和を補償的な対策と位置づけ、ベンダーの修正手順に従うよう求めている。
From: 
Introducing Zero Wire, a hub for investigating critical Internet vulnerabilities
【編集部解説】
Zero Wireが解こうとしているのは、脆弱性情報の不足ではありません。情報はベンダーの勧告、CVEレコード、研究者の報告、各国機関のカタログへと散らばって届きます。Cloudflareが発表の冒頭で描いた朝7時の場面でも、担当者を追い立てるのは「うちは影響を受けるのか、何をしているのか」という社内からの問いでした。Zero Wireの狙いは、情報を増やすことより、判断に必要な材料を1枚のカードにそろえることにあると読めます。
背景にあるのはAIです。Cloudflareは、AIが大規模なコードを解析し、人のレビューで長年見つからなかった欠陥を掘り起こすことで、重大な脆弱性の発見の量と速度が変わりつつあると説明しています。受け手の実感もこれに重なります。PHP Foundationは、AI支援の研究が増えたことで、PHPのセキュリティチームが受け取る報告が以前より大幅に増えたと述べています。発見の速度が上がるなら、受け止める側の段取りも変わらざるをえません。
「誰が調べるのか」を先に置く
発表が例に挙げるPHP2Shellは、この設計をよく表しています。欠陥があるのはPHPのランタイムです。WordPressやMagentoのアプリケーションやプラグインを更新するだけでは、土台のPHPは直りません。そこでZero Wireは、どのランタイムが実際に動いているのか、ベンダーの修正は当たっているのか、更新の担当は誰なのかを、次の会話の中身として示します。
身近な運用に引き寄せると、この問いの切実さが見えてきます。たとえばサイトの更新は制作会社、PHPはレンタルサーバの事業者が担っている場合、「CMSは最新です」という答えが正しくても、ランタイムの修正を誰も確かめていない、ということは起こりえます。ブリーフィングが、PHPを事業者が管理している場合は修正の確認を求めるよう促しているのは、この切れ目を埋める一文です。
深刻度、悪用、修正は別の問い
Zero Wireが一貫して分けているのは、性質の違う情報です。深刻度と悪用の証拠は別のものとされ、ベンダーの勧告は影響を受ける版と修正方法を、悪用の報告は攻撃者の活動を示すと整理されています。攻撃の試みを観測しても、特定の組織が侵害されたことにはなりません。逆に、Cloudflareのネットワークで観測されないことは、ほかの場所で悪用がないことを意味しません。
PHP2Shellのブリーフィングは、3つのCVEを1枚に載せながら、その扱いを分けています。CVE-2026-109618とCVE-2026-109619は10月26日にCISAのKnown Exploited Vulnerabilities（KEV）カタログへ登録され、対象となる米連邦機関の期限は10月29日でした。一方、関連するCVE-2026-115560はKEVの根拠が及ばないものとして別に評価するよう求めています。PHPの告知によれば、後者が問題になるのは、session upload progressが有効で、設定上のシリアライザがphp_binaryまたはphp_serializeのアプリケーションが、session_start()の前にini_set()でphpへ切り替える場合です。元の2件を修正しても、関連する別のCVEまで対処済みとは限らない。その区別を崩さない作りになっています。
グラフの読み方にも同じ姿勢が表れています。ブリーフィングには、PHP2Shell向けのWAFルールに一致したリクエスト数が、ピーク日を基準にした相対値で示されています。発表掲載の図では公表翌日の10月22日が頂点で、その後は低い水準が続きます。ただしCloudflareは、この数を侵害された件数でも攻撃が成功した件数でもないとしており、攻撃者の関心の度合いをつかむための目安と位置づけています。曲線が下がったことを、安全になった印とは読めません。
AIで見つかり、AIで確かめる
開発者の目を引くのは、AIエージェントに渡すプロンプトでしょう。求めるのは読み取り専用の評価で、PHP2Shell用のものは、攻撃コードの送信、メモリ枯渇の誘発、システムの変更を禁じています。資産ごとの証拠、不明点、次の行動を報告させる形です。コピーしただけではスキャンも変更も行われません。読み取り専用はあくまでプロンプト上の指示なので、実際にどの範囲の権限を渡すかは、利用する側の環境で決めることになります。
中身は、AI向けの指示であると同時に、人が読んでも質の高い調査手順書です。CLIの版ではなく実際にリクエストを処理しているランタイムを確かめること。古い版番号でもバックポートで修正済みの場合があること。WAFの存在や警告がないことを修正の証拠としないこと。調べた範囲が裏付けない限り、全体に影響なしと結論しないこと。AIが欠陥を見つける時代に、影響の確認にもAIを使う。その際に何を疑わせるかまで文章で渡している点に、この機能の面白さがあります。
日本の基準とつなげて読む
日本の実務とも接点があります。IPAのSCS評価制度では、★3の基準4-4-4-2が、対象となる更新プログラムのリリースから原則として14日以内の適用を求めています。対象はベンダーが重大または高リスクと説明するもの、CVSS基本値7.0以上のもの、深刻度の詳細が示されていないものです。解説書は悪用状況の情報も加味する考え方を示し、参照先の例としてIPA、JPCERT/CC、CISAのKEV、ENISAのEUVDを挙げています。米国でもCISAのBOD 26-04が、資産の公開性、KEVへの掲載、攻撃の自動化の可否、技術的影響という4つの変数で修正の緊急度を決める形を取りました。スコアだけでなく、悪用の状況や自社の露出を合わせて判断する流れと読めます。
Zero Wireはこれらの制度上の情報源ではありません。ただ、社内説明の下書きや一次情報への入口としては、この流れとかみ合います。使う際に知っておきたい前提もあります。11月7日時点の掲載は、Needs attentionが6件、Referenceが1件の計7件で、発表自身がすべてのCVEのカタログではないと明言しています。載っていないことは安全を意味せず、自社の資産の把握は別に必要です。Referenceへの移動も、すべてのシステムが修正済みという意味ではありません。
掲載の幅も「重大なCVE」に限られません。eMudhraの証明書侵害のようにCVE番号のない項目があり、Node.js公式の深刻度がHighのBrotliの欠陥も載っています。本文は日本語ページでも英語のままです。発表の図で「Last checked」「Why this needs attention」だった欄は、11月7日時点の画面では「Last reviewed」「Risk」となっています。
最終確認日はカードごとに異なり、11月7日時点のNeeds attentionでは10月19日から11月6日までの幅があります。この日付は読み飛ばせません。node2shellのカードは10月25日の確認時点で悪用は未確認としていますが、同じCVE-2026-111497は10月27日にKEVへ登録されました。カードはその日付時点の記録として読み、最新の状況はリンク先の一次情報で確かめる。発表自身も、ベンダーの指針は調査の進展で変わりうるとしており、この使い方と重なります。
WAFの会社が書いた「WAFでは足りない」
Cloudflareは自身がWAFの提供者であり、ブリーフィングには有料プランと無料プランの設定画面へのリンクもあります。それでも発表は、リンクがルールを自動で有効にするわけでも、導入状況を検証するわけでもないと書いています。WAFは対象の通信に対する補償的な対策であり、脆弱なソフトウェアの修正の代わりにはならず、オリジン側ですでに実行された操作を元に戻すこともできません。CloudflareのWAFによる保護は掲載の前提でもなく、修正がベンダー側でしかできない項目も載せるとしています。自社製品の説明欄に、その製品の限界を書き込む。この線引きがあるからこそ、公開の情報源として使いやすくなっているように思います。
発表の結びでCloudflareは、次の開示が届いたときには、基本的な事実を集める時間を減らし、行動に時間を使ってほしいと書いています。確定した事実と不明な点を分ける、担当を名指しする、AIエージェントへ手順を受け渡す。この型はCloudflareだけのものではなく、ベンダーの勧告や社内の連絡文にもそのまま応用できます。発見の側でAIが速さを増すこれからの数年、受け取る側の文書がどう変わっていくのか。Zero Wireは、その最初の見本のひとつになりそうです。
【関連記事】
【解説】PHP2Shell、AIが見つけたPHPの重大脆弱性 CVE番号の流出で公開を前倒し
AIを使った研究による発見から、CVE番号の流出で公開が前倒しされるまで、PHP2Shellの経緯をまとめた解説記事です。
PHP2Shell、修正から1日｜「被害は確認されていない」をどう読むか？サービスは戻っても残る3つの宿題
「被害は確認されていない」という公表を、各社が見たログの範囲での途中経過として読む視点を、PHP2Shellの事例で示した記事です。
PHP2Shell、PAN-OS機器など25台がroot化 Fragnesiaと連鎖し米政府関連のADへ
PHP2ShellとFragnesiaを連鎖させ、PAN-OS機器など25台でroot権限を奪った攻撃の痕跡を整理した記事です。
Node.js、Brotliデコーダの脆弱性を修正 本体はGoogleのライブラリでPythonやDebianにも
Zero Wireがnode2shellとして載せるBrotliの欠陥について、Node.js以外への影響の広がりを整理した記事です。
IPA、SCS評価制度★3・★4の評価ガイドと解説書を公開 14日パッチ基準も改訂
SCS評価制度の14日の基準について、期限内に適用できない場合の扱いがどう変わったのかを、改訂の内容から読み解いた記事です。
【編集部後記】
Zero Wireの画面の右上には、小さなRSSのボタンがあります。発表の本文には出てきませんが、配信を開くと、最新の項目には更新の履歴とCloudforce Oneの署名が添えられていました。
朝7時の通知を待たず、自分の手元で追えるようになるわけです。そこで残るのは、受け取ったあとの一歩でしょう。
お使いのサイトで動いているPHPを誰が更新しているのか、名前で答えられますか。Zero Wireのカードが最初に問うているのは、たぶんそこです。
【用語解説】
CVE
公開された脆弱性に付けられる共通の識別番号である。CVE-2026-109618のように、年と番号で表す。
CVSS
脆弱性の深刻度を0.0から10.0の数値で示す共通の指標である。
KEV（Known Exploited Vulnerabilities）カタログ
米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が公開する、悪用が確認された脆弱性の一覧である。
WAF（Web Application Firewall）
Webアプリケーションへの通信を検査し、攻撃とみられるリクエストを遮断する仕組みである。
補償的な対策
脆弱性そのものの修正ではなく、修正までの間などにリスクを下げるための代わりの対策である。
PHP2Shell
2026年10月21日に公表された、PHPのランタイムにある2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称である。Zero Wireはphp2shellと表記する。
ランタイム
プログラムを実行する環境である。本記事では、Webリクエストを処理するPHP本体を指す。
シリアライザ
データを保存や受け渡しに適した形式へ変換する仕組みである。PHPではセッションデータの形式を指定する設定がある。
バックポート
新しい版で行った修正を、古い版へ移植することである。版番号が古くても修正済みの場合がある。
SCS評価制度
サプライチェーン強化に向けたセキュリティ対策評価制度の略称である。企業のセキュリティ対策の段階を★で示す。
BOD 26-04
CISAが2026年6月10日付で公表した、米連邦民間行政機関向けの拘束力のある指令である。修正の優先順位をリスクに基づいて定める。
EUVD
EUのサイバーセキュリティ機関ENISAが運営する、EUの脆弱性データベースである。
【参考リンク】
Zero Wire（Cloudflare Radar）（外部）
Cloudflare Radarのセキュリティ欄にある公開の脆弱性フィード。カード一覧とCVEの検索に加え、RSS配信も用意している。
PHP News Archive 2026（PHP公式）（外部）
PHP公式の告知一覧。10月21日のセキュリティ勧告と、10月23日のsession upload progressに関する告知を掲載している。
Known Exploited Vulnerabilities Catalog（CISA）（外部）
米CISAが公開する、悪用が確認された脆弱性の一覧。各項目の登録日と、対象となる連邦機関に課される対応期限を確認できる。
SCS評価制度（IPA）（外部）
IPAによる制度の案内ページ。サプライチェーン強化に向けたセキュリティ対策評価制度の概要と、関連する資料を掲載している。
EUVD（ENISA）（外部）
EUのサイバーセキュリティ機関ENISAが運営する脆弱性データベース。SCS評価制度の解説書でも参照先の例に挙げられている。
【参考記事】
Today’s PHP Security Release, and How We’re Strengthening PHP Security（外部）
PHP Foundationによる公表の説明である。AI支援の研究でPHPのセキュリティチームに届く報告が大幅に増えた状況を述べている。
Cloudflare deploys protections against php2shell vulnerability（外部）
Cloudflareによる解説である。WAFルールの展開時期と無料プランを含む提供範囲、顧客を狙う攻撃の観測状況を記している。
BOD 26-04: Prioritizing Security Updates Based on Risk（外部）
CISAの指令である。資産の公開性、KEVへの掲載、攻撃の自動化、技術的影響の4変数で修正の緊急度を決める形を定めている。
要求事項・評価基準（外部）
IPAの公開ページである。★3・★4の要求事項・評価基準と解説書を掲載し、基準4-4-4-2の14日の定めを確認できる。
Wednesday, October 21, 2026 Security Releases（外部）
Node.jsの公式告知である。Brotliデコーダの脆弱性CVE-2026-111497の深刻度をHighとしている。
