概要 Anthropicは10月21日、複数のアプリをまたいでタスクを主体的に管理する新しいAIエージェント「Claude Duet」を発表した。最新モデル「Claude Opus 5.5」を基盤とし、6000以上の外部サービスと連携するコネクタを通じて、ユーザーが指示した作業を自律的に遂行する。ユーザーがアプリを閉じた後もクラウド上で処理を継続できる点が特徴で、OpenAIの「ChatGPT Dots」やMetaの「Muse」に対抗するプロアクティブ型アシスタントの新たな選択肢として位置づけられている。 主な機能 Claude Duetの中心機能は、毎朝メールとカレンダーを自動的に確認し重要事項をまとめる「朝の要約」と、ユーザーが説明したタスクについて使用すべきアプリや手順を自ら判断して実行する自律的なタスク処理だ。進行中の業務は専用の「Tasks」タブで一覧管理できる。一方で、メッセージの送信や支払い、文書への署名、削除といった重要な操作を行う前には必ずユーザーに確認を求める設計になっており、自律性と安全性のバランスを取っている点が強調されている。 提供体制と今後の展望 提供対象は当面、米国のPro/Max会員に限定され、追加料金は発生せず既存プランの利用上限内で利用できる。利用開始にはウェイトリストへの登録が必要で、段階的なロールアウトが予定されている。Team/Enterpriseプランには現時点で対応しておらず、Anthropicは今後これらのプランへの展開も計画しているという。競合のChatGPT DotsやMeta Museと同様、プロアクティブに動くAIエージェントが実用段階に入ってきたことを示す発表であり、各社の提供範囲や安全設計の違いが今後の比較ポイントになりそうだ。

概要 セキュリティ研究者Quentin Kaiser氏が、Broadcom製Wi-Fiチップの「Wi-Fi Protected Setup（WPS）」実装に存在する重大な脆弱性を公開した。欠陥は断片化されたWPSセットアップメッセージの再構成処理に不備があることに起因し、攻撃者は細工したメッセージを送信するだけでルーターのメモリを破損させ、メモリ読み取りや任意コードの実行を引き起こせる。パスワードや事前のペアリングは一切不要で、電波の届く範囲にいるだけでroot権限によるルーターの完全な乗っ取りが可能になるという。 影響を受けるチップと範囲 影響は古いeCosベースのチップ（BCM3380、BCM3383、BCM33834）と、比較的新しいLinuxベースのチップ（BCM3390、BCM65xx、BCM68xx）の双方に及ぶ。Kaiser氏は実証として、ベルギーの大手インターネットプロバイダーであるOrange Belgium、Proximus、VOOが提供するゲートウェイで実際に悪用可能であることを確認しており、世界的に見ても数百万台規模のデバイスが影響を受ける可能性がある。 Broadcomの対応とCVE拒否 特に問題視されているのが、Broadcom側の対応である。同社は2018年の時点でこの欠陥を認識していたとされるにもかかわらず、CVE番号の割り当てを拒否し、公開のセキュリティ声明も出していない。この沈黙が、多数の端末メーカーがこれまでパッチを適用してこなかった一因になったとみられる。Linuxベースのチップについては技術的には修正が可能だが、古いeCos系チップは設計上の制約から今後も修正される見込みがないという。 利用者への影響と今後の見通し パッチが提供されない以上、該当する古いゲートウェイやルーターを使い続けている利用者にとっては、機器の交換が事実上唯一の実用的な対策となる。Kaiser氏は脆弱なファームウェアを検出するためのYARAルールを公開しており、ISPや機器メーカーが自社製品の影響範囲を調査する助けになるとしている。ベンダーがCVEの割り当てすら拒む今回のケースは、サプライチェーン上流のチップベンダーが脆弱性情報の透明性を欠いた場合に、末端の利用者が長期にわたりリスクにさらされ続けるという構造的な課題を改めて浮き彫りにしている。

概要 NVIDIAのジェンスン・フアンCEOは10月19日、ベルリンでドイツのメルツ首相と会談し、ロボットや製造業向けのAIモデル開発を推進する「フィジカルAI」分野での協力に関する共同宣言に署名した。同社はこれに合わせて欧州向けに約100億ドル規模の投資計画を発表し、そのうち約100億ドルの一部をドイツのAI産業振興に充てるとともに、Agile Robots、Avelios Medical、Mirelo、Reflex Aerospaceといったドイツのスタートアップ4社への出資を明らかにした。 「フィジカルAI」分野での協力 今回の共同宣言には、メルツ首相に加え、ドイツ連邦経済・気候保護省、連邦デジタル・交通省、そしてNVIDIAが名を連ね、物理法則に基づくAIモデル（physics-based AI models）の開発で協力する意向を確認する内容となっている。対象となるのはロボットや産業機器、製造業向けのAI応用で、現実世界の物理的な制約や動作を学習・シミュレーションできるAIモデルの実用化を見据えたものだ。メルツ首相はドイツの中小企業に対し、既存の産業データを最大限に活用してAI導入を加速するよう呼びかけており、今回の協定を製造業大国としてのドイツの強みをAI時代に転換する施策の一環と位置付けている。 独AIスタートアップ4社への出資 NVIDIAが発表した約100億ドル規模の欧州投資計画のうち、一部はドイツのAI産業育成に重点的に振り向けられる見通しで、出資対象として名前が挙がったのはロボティクス企業のAgile Robots、医療ソフトウェアを手がけるAvelios Medical、AIによる音声・映像生成技術を開発するMirelo、衛星製造を行うReflex Aerospaceの4社。分野は産業ロボットから医療、クリエイティブ分野、航空宇宙まで幅広く、NVIDIAが単なる資金提供者としてだけでなく、GPUやソフトウェアスタックを含むAI基盤技術の供給元としてドイツのAIエコシステム全体への関与を強めていることがうかがえる。 今後の展望 NVIDIAは近年、米国外でのAIインフラ投資を積極化させており、今回のドイツとの協定は欧州における製造業・ロボティクス分野へのAI展開を加速させる狙いがある。ドイツ政府が看板産業である自動車・機械製造の競争力維持にAIを不可欠な要素と位置付けていることもあり、政府主導の協力枠組みと民間スタートアップへの直接出資を組み合わせたこの取り組みは、他の欧州諸国が同様の官民連携モデルを検討する際の先例となる可能性がある。

両社取締役会が特別委員会を設置 イーロン・マスクはSpaceXの第3四半期決算発表の場で、TeslaとSpaceXの経営統合に向けて両社の取締役会がそれぞれ独立社外取締役からなる特別委員会を設置したことを明らかにした。マスクによれば、この動きは株主からの要請を受けたものだという。合併の是非について同氏は「確実視している人もいるが、それは誤りだ」と慎重な姿勢を示しつつも、「良い考えだと思う」と統合に前向きな考えを述べた。交渉はまだ初期段階にあり、合意に至る保証はないとされる。統合の狙いとしては、Super Intelligence向けソフトウェアやチップ設計、Terafab、ロボティクス、衛星コンステレーション「Starmind」による地球低軌道輸送、通信事業といった分野での連携強化が挙げられている。 AI事業がStarlinkを上回る好決算 合併観測の背景には、SpaceXの好調な業績がある。同社の第3四半期売上高は前年同期比161%増の146億ドルとなり、LSEGがまとめたアナリスト予想の127.2億ドルを大きく上回った。さらに上場企業として初めて四半期営業利益を計上したことも明らかになった。特に目立つのがAI関連事業「Super Intelligence」の急成長で、売上高は前年の8.13億ドルから830%増の75.6億ドルに達し、クラウドサービス契約の新規獲得やCursorの買収、法人・個人向けGrokの採用拡大が寄与したという。この結果、Super IntelligenceはStarlinkを含む通信事業の売上高(前年比69%増の52億ドル、うち個人向け31億ドル、法人・政府向け21億ドル)を初めて上回った。Starlinkの個人向け契約者数も6月末の1,200万人から1,360万人に増加しており、通信事業自体も堅調に拡大している。 株価反応と今後の見通し 好決算と合併観測を受け、SpaceXの株価は10%急騰した。市場ではSpaceXの企業価値を約2兆ドル、Teslaの市場価値を約1.5兆ドルとみる向きが多く、両社が統合した場合は合計で約3.5兆ドル規模の企業が生まれる可能性があるとされる。この株価上昇により、マスク氏の資産は再び1兆ドルを超える水準まで回復したと報じられている。今回の特別委員会設置は合併に向けた具体的な一歩ではあるものの、独立取締役による検討はあくまで初期段階であり、実際に統合が実現するかどうか、またどのような条件で行われるかは依然として不透明だ。

概要 カリフォルニア州教育局の委託先であるEducational Testing Service(ETS)が運用するSFTP(セキュアファイル転送プロトコル)サーバーが不正アクセスを受け、2025-2026学年度に在籍する570万人以上を含む公立学校の現旧生徒の個人情報が流出した。侵入者は盗まれた単一のログイン認証情報を使い、5月22日から9月18日までの約4か月間にわたって複数回にわたりサーバーにアクセスし、ファイルをコピーしていた。ETSが侵入に気づいたのは9月25日で、発見までに長期間を要した点が問題視されている。流出した情報には氏名、生年月日、住所、学校・学区情報、州・地域のID番号、性別、人種・民族、言語情報、英語学習者ステータスが含まれ、一部には障がいの有無や特別支援教育の受給状況、学習支援の内容、習熟度データも含まれていた。一方で社会保障番号、運転免許証番号、金融情報、パスワード、保護者情報は含まれていないという。 侵入の手口と発見までの経緯 今回の侵入経路は、ETSが運用するSFTPサイト――カリフォルニア州教育局とのテストデータ共有に使われていたシステム――に対する単一の漏洩ログイン認証情報の悪用だった。攻撃者はこの認証情報を使ってサイトにアクセスし、ファイルを複製していたとみられる。侵入は5月22日に始まったが、ETSが異常を検知したのは9月25日であり、実際に不正アクセスが行われていた期間と発見までの間に数か月のギャップが生じていたことになる。セキュリティ専門家のAnton Dahbura氏は「盗まれたログイン認証情報が、数百万人の生徒の個人情報への数か月にわたる通行証になってしまうべきではない」と述べ、認証の安全対策や監視システムがなぜ長期間にわたる異常なアクセスを検知できなかったのかを問題視している。ETSは発見後、侵害されたアカウントを停止し、該当のSFTPサイトをオフラインにした上で、より強固な安全対策を備えた新システムを構築したとしている。 影響範囲と対応 今回の漏洩の影響は、2025-2026学年度に在籍する570万人超の現役生徒だけでなく、2006年までさかのぼって州外に転校後に転入先での再登録が確認されなかった生徒など、過去の生徒にも及ぶ可能性がある。正確な被害者数は公表されていない。カリフォルニア州教育局は影響を受けた個人への通知を進めており、通知は10月16日に開始され11月まで継続する見込みだ。ETSは法執行機関やサイバーセキュリティの専門家と連携して調査を進めており、現時点では流出した情報がインターネット上で公開された証拠は見つかっていないとしている。対応策として、影響を受けた生徒とその家族には2年間の無料ID保護サービスが提供されるほか、16歳未満の未成年者についてはクレジットフリーズの利用が推奨されている。利用者には、公式チャネルを通じた連絡の確認や提供されるID保護サービスへの登録、学校関連の情報を悪用したフィッシングへの警戒も呼びかけられている。 教育分野におけるデータ委託のリスク 今回の事案は、教育機関が生徒の機密情報の管理を単一の外部ベンダーに委託することで、リスクが一点に集中してしまう構造を改めて示した。ETSのようなテスト運営会社は、学力評価や特別支援教育の判定に必要な詳細な個人情報を大量に保有しており、そこへの侵入は一般的な企業データ漏洩よりも機微な情報――障がいや言語支援の状況など――を広範囲に晒す結果につながりやすい。社会保障番号や金融情報は含まれていないとはいえ、生徒の属性情報は長期にわたって悪用され得るため、今回のような長期間未検知のまま続いた侵入は、教育分野におけるアクセス監視や認証強化の必要性を浮き彫りにしている。

概要 Appleは10月16日、同社として初の折りたたみ式iPhoneとなる「iPhone Duo」の予約受付を開始した。米国を含む70以上の国・地域では10月23日に発売され、残る28の国・地域は10月30日発売となる。価格は米国で256GBモデルが1,999ドルから、512GBが2,199ドル、1TBが2,599ドル、2TBが3,199ドル。日本では256GBモデルが36万4,800円（税込）からで、同じく512GB・1TB・2TBの4容量が用意される。カラーはスターホワイトとナイトスカイの2色。米国の予約受付は太平洋時間10月16日午前5時に始まり、Apple Storeでは予約のない来店客に在庫がない可能性が高いことを案内するよう従業員に指示が出ており、1人あたりの注文数も2台までに制限されるなど、発売直後の需要の高さがうかがえる。 製品の特徴とスペック iPhone Duoはブックスタイルの折りたたみ構造を採用し、閉じた状態では5.4インチ（画面領域はiPhone 18 Proの約90%）、開いた状態では7.58インチ（iPhone 18 Pro Maxより50%大きい）の内側ディスプレイを備える。折り目は最小限に抑えられたとAppleは説明している。プロセッサは最新の「A20 Pro」チップで、デュアルバッテリーアーキテクチャにより終日のバッテリー駆動を実現するという。カメラはメイン・超広角とも4800万画素のフュージョンカメラを搭載し、メインカメラはシャッターラグのない設計で2倍の光学ズームを統合、超広角カメラはマクロ撮影にも対応する。センターステージ対応のフロントカメラと、内側ディスプレイ下に配置されたFaceTimeカメラも備える。本体はIP68等級の防水・防塵性能を持ち、最大6メートル・30分間の耐水性があるとしている。SIMはeSIM専用で、物理SIMスロットは搭載されない。 ソフトウェアと使い勝手 ソフトウェア面では、折りたたみ時の操作に最適化した「iOS 27」を搭載し、2つのアプリを並べて表示できるSplit View対応のマルチタスキング機能が目玉となる。Apple Intelligenceで動作する音声アシスタント「Siri」も、個人の利用文脈を認識する機能を備えるとAppleは説明している。純正アクセサリーとして、スタンド機能付きの「iPhone Duo Folio」（日本では2万4,800円、ネイビーブルー・トープ）と、薄型2パーツ構造の「iPhone Duo Case」（1万4,800円、ネイビーブルー・サンド）が用意され、MagSafeおよびQi2 25W充電にも対応する。 市場での位置づけと懸念点 iPhone Duoは9月に発表されたAppleとして初の折りたたみ端末であり、サムスンなど先行する折りたたみスマートフォン市場への本格参入と位置づけられる。一方で日本の報道では、ヒンジ部分の折り目の視認性や、破損時の修理費用が27万円を超える可能性がある点が懸念として挙げられている。購入支援策としては、米国ではApple Upgradeプログラム（月額57.99ドルから、24か月リース）やApple Trade Inによる最大885ドルの下取りクレジット、AT&T・T-Mobile・Verizonなどキャリア各社のトレードイン特典による最大1,200ドルの下取りクレジット、Apple Cardでの0%分割払いなどが用意されており、高価格帯の折りたたみ端末をどれだけ普及させられるかが今後の注目点となる。

概要 米CISA(サイバーセキュリティ・infrastructure security agency)は2026年10月20日、既知悪用脆弱性(KEV)カタログに新たに6件の脆弱性を追加した。対象はPlex Media Serverの脆弱性4件(連鎖させることで未認証のリモートコード実行に至ることから「Plex2Shell」と呼ばれる)、EG Secure SolutionsのSiteGuard Server Edition、SiemensのSoftware Centerの各1件。いずれも実際の攻撃での悪用が確認されており、CISAは連邦文民行政機関(FCEB)に緊急のパッチ適用を命じた。CVE-2026-106931、CVE-2026-96656、CVE-2026-96654の3件は10月23日まで、残る3件は11月3日までの対応が求められている。 Plex2Shellの技術的詳細 4件の脆弱性はPlex Media Server 1.43.2以前に存在する。4件の脆弱性のうち3件(CVE-2026-96652、CVE-2026-96654、CVE-2026-96655)はCVSSスコア5.3〜6.9の中程度(medium)に分類されるが、研究者Zach Mainによれば、これらを連鎖させることで未認証のリモートコード実行が可能になる。最も深刻なCVE-2026-96656(CVSS 8.6)は、デフォルトで有効になっている統計機能を通じて悪用できる「ファイル名/パスの外部制御」の欠陥。CVE-2026-96654(CVSS 6.9)はエンコードされたURIスキームの不適切な処理に起因し、CVE-2026-96652とCVE-2026-96655(いずれもCVSS 5.3)はサーバーサイドリクエストフォージェリ(SSRF)の脆弱性だ。いずれも2026年8月3日公開のビルド1.43.3.10861以降で修正されている。研究者boredhackerblogによると、実際の攻撃ではXMRigなどの暗号資金マイナーや、侵害したPlexサーバーを住宅用プロキシに転用するマルウェアの展開が確認されており、すでに実害が発生している。 Siemens Software CenterとSiteGuardの脆弱性 Siemens Software Center(v4.0.9.8より前の全バージョン)のCVE-2026-110936(CVSS 8.4)は、意図したディレクトリではなく検索パス上からDLLを読み込んでしまう「制御されない検索パス要素」、いわゆるDLLサイドローディングの欠陥。攻撃者は正規インストーラーを装った「AllMyBasic.msi」を用いる「Romulus」ClickFixキャンペーンでこの欠陥を武器化している。一方、EG Secure SolutionsのSiteGuard Server EditionにあるCVE-2026-106931(CVSS 8.5)はOSコマンドインジェクションの欠陥で、root/SYSTEM権限での任意コマンド実行を許す。両脆弱性とも実環境での悪用がすでに確認されている。 影響と対応 CISAはBOD 26-04に基づき、公開資産における脆弱性のリスクベースの優先的修復を連邦機関に求めている。対象製品を利用する組織はFCEB機関に限らず速やかなパッチ適用を検討すべきだ。特にPlex2Shellはホームユーザーや、メディアサーバーをインターネットに公開している組織でも悪用リスクが高く、暗号資金マイナーやプロキシ型マルウェアの踏み台として利用される実害がすでに広がっている点に注意が必要である。

概要 米国土安全保障省(DHS)は10月20日、2018年の連邦調達サプライチェーン安全保障法(FASCSA)に基づき、中国・杭州DeepSeek Artificial Intelligence社が提供するAI製品を連邦民間機関のITシステムから排除するよう命令した。命令は同日付の連邦官報(Federal Register)に掲載され、各機関に対してDeepSeek製品を調達対象および承認済みベンダーリストから即座に除外し、既存システムからの撤去を求めている。なお今回の措置はあくまで連邦政府機関を対象としたものであり、民間企業や個人消費者によるDeepSeek製品の利用を制限するものではない。 例外申請の手続きとCISAの役割 業務上の都合などでDeepSeek製品の排除が困難な機関は、命令発出から60日以内に例外申請を提出できる。申請には正当な理由とあわせて、具体的なリスク低減策の提示が求められ、米サイバーセキュリティ・インフラセキュリティ庁(CISA)が内容を審査したうえで書面により承認または却下を行う。また、技術的制約により対応が難しい機関向けには、CISAが技術支援を提供する体制も整えられている。 背景にあるセキュリティ上の懸念 DeepSeekは大規模言語モデルやチャットボット、API、コーディング・推論向けAIツールなどを手がけ、低コストで高性能なモデルとして急速に利用が広がった一方、セキュリティ面の懸念も繰り返し指摘されてきた。2025年2月にセキュリティ企業NowSecureが公表した調査では、同社のiOSアプリに暗号化されていない通信や脆弱な暗号方式、安全性の低いデータ保存方法、さらにByteDanceとのデータ共有といった問題が確認されている。DHSは、中国政府がユーザーの会話履歴や個人情報にアクセスできる可能性、および政府の機微な情報が中国側に渡るリスクを今回の排除命令の根拠として挙げた。 各国の対応と今後の見通し DeepSeekを巡っては、ドイツがアプリストアからの削除を要請するなど、他国でも同様の警戒感に基づく対応が先行していた。今回のDHSの命令は、こうした国際的な動きと歩調を合わせる形で、米国政府が中国製AI製品に対する調達規制を一段と強化したものと言える。今後、他の連邦機関や関連法制においても同様の排除・制限措置が広がるかが焦点となりそうだ。

概要 Netflixは従業員数の約6%に相当する約1,000人を削減すると発表した。昨年末時点の従業員数は16,000人で、今回の削減は2022年以降で最大規模のリストラとなる。対象となるのは主にプロダクト、技術、法務、人事部門で、特定の事業部門に限定せず組織全体に及ぶ点が特徴だ。共同CEOのテッド・サランドスとグレッグ・ピーターズは、「我々のミッションである『世界を楽しませること』は野心的であり、人材とリソースの優先順位付けが必要だ」とコメントし、削減後も「影響力の高い領域には積極的に投資を継続する」と強調している。 業績は堅調、背景にあるのは視聴時間争い 今回のリストラは業績不振によるものではない。Netflixの2025年の収益は452億ドルに達し、広告収益も15億ドルを超えるなど、会社は通年予想の達成軌道にあると表明している。それでもなお大規模な人員削減に踏み切った背景には、TikTok、YouTube、Instagramといったソーシャルメディアプラットフォームとの視聴時間の奪い合いが激化している事情がある。特にYouTubeは2025年、平均日次視聴時間でNetflixを上回ったとも報じられており、動画配信市場の競争構図が従来の「配信サービス対配信サービス」から「配信サービス対ショート動画・UGCプラットフォーム」へと広がっていることを示している。 M&A戦略の後退も影響か 今回の削減には、今年初めにWarner Bros. Discoveryの買収入札競争でParamount Skydanceに敗れたことも関係しているとみられる。大型買収による事業拡大という成長戦略の一つの道が閉ざされたことで、Netflixは既存事業の効率化とコスト構造の見直しに重心を移したと解釈できる。プロダクトや技術部門が主な対象となっている点は、コンテンツ投資そのものを削るのではなく、組織運営や開発体制のスリム化を優先した経営判断であることを示唆している。 今後の展望 Netflixは今回の削減後も高い効果が見込める領域への投資は継続する方針を示しており、単純なコスト削減というより、短尺動画時代における視聴者の時間争いに対応するための組織再編という側面が強い。今後、広告事業やライブ配信など新たな収益源の強化にどこまで人員と資金を再配分していくかが、同社の成長戦略を見極める上での焦点となる。

概要 PHPコアに未認証のリモートコード実行(RCE)を許す重大な脆弱性2件、CVE-2026-109618とCVE-2026-109619が見つかった。PHP開発チームはCVSS v4.0で9.2のスコアを割り当てているが、情報流出の過程ではセキュリティ研究者watchTowrが当初10.0相当として報じており、評価にばらつきが見られる。当初は10月22日午前11時(米東部時間)に修正版の公開が予定されていたが、脆弱性情報と攻撃ツールの流出を受けて10月21日14:00 UTC(米東部時間10:00AM)に前倒しされた。公式にパッチが提供されるのはサポート対象の8.5、8.4、8.3、8.2系列のみで、EOL(サポート終了)となっている8.1以前のバージョンにはベンダー提供の修正がない。一方でBleepingComputerはPHP 5、6、7、8の広い範囲に影響が及ぶ可能性があると報じており、Shodan調査では現在もPHP 8.1以前を稼働させる外部公開ホストが約88万4千台存在するとMalloryが指摘している。パッチ適用自体が不可能な環境が大量に残る点が、今回の問題を一段と深刻にしている。 流出の経緯と攻撃ツール「PHP2Shell」 事態が急転したのは10月20日、Hacker News上に脆弱性の詳細とされる情報が投稿されたことだった。この投稿では、Calif.IOという名義の開発者によるものとされるエクスプロイトツール「PHP2Shell」のスクリーンショットも、セキュリティアドバイザリーと共に流出したという。PHP開発チームはこれを受けて同日19:33 UTCに緊急の注意喚起を発表し、「いずれかの脆弱性の詳細が公になった場合、あるいは実際の悪用の証拠が確認された場合には、より早期にリリースする権利を留保する」との趣旨の声明を出していた。脆弱性自体の技術的な仕組みについては、記事執筆時点でPHP側から具体的な説明は公開されておらず、watchTowr関連の資料でも「リモートコード実行を許す」という点以外の詳細は明らかになっていない。研究機関sansecは、MagentoやShopware、WooCommerceといった主要なECプラットフォームもPHP上で広く稼働しているため、今回の脆弱性の影響を受けると指摘している。 対応に追われる管理者とリスク評価 脆弱性情報の信頼性については議論が残っており、thehackernewsはリークの出典について「“ソースは信じてくれ”以上の確証がない」と評価の難しさを指摘している。それでもセキュリティベンダーの反応は速く、Huntressは10月20日時点で自社パートナー環境における悪用例や、概念実証(PoC)コード・公開エクスプロイトの存在は確認されていないと報告した一方、watchTowrはCVE-2026-109618の再現に成功したとしており、脆弱性自体の実在性は裏付けられている。sansecはさらに、PHPの修正版公開から「15分以内に大規模な攻撃が始まる」と予想している。なお、thehackernewsは、2024年に発覚したWindows版PHP CGIモードの脆弱性CVE-2024-4577が公開から24時間以内にAkamaiのハニーポットへの攻撃を観測された前例を挙げ、警戒を呼びかけている。各社が推奨する対応は共通して、まず社内のPHP稼働環境を棚卸しし、パッチを即時適用できる体制を整えること、EOLブランチが稼働するシステムは隔離するかVPN経由のみでアクセス可能にすること、CERT-EUが提言するようにインターネットからの直接アクセス遮断も検討すること、php-fpmやApacheのプロセスを監視し侵害の兆候があれば直ちにサーバーを隔離して証拠を保全することなどが挙げられている。緊急の緩和策としては、php.iniでsession.upload_progress.enabledを無効化するといった設定変更も提案されており、パッチ適用までの時間を少しでも稼ぐ動きが広がっている。