ニュース
PHP重大脆弱性、発見者はAI 攻撃・防御の双方がAIを使う構図に
10月21日夜、業務ツールや通販サイトなど多数のITサービスが突如「緊急メンテナンス」に入りました。なぜこれほど急な対応が必要だったのでしょうか。背景には、AIが脆弱性を発見した側にも、悪用しようとする側にも使われ始めているという現実があります。
何が起きたか
非営利団体のPHP Foundationは、2件の重大なソフトウェア脆弱性「CVE-2026-109618」「CVE-2026-109619」（総称「php2shell」）を公表し、10月21日午後11時（日本時間）に緊急の修正パッチを公開しました。Webサイト運営者に対しては、直ちにパッチを適用するか、対応が完了するまでサイトを停止するよう強く求めています[1]。
この脆弱性を発見したのはOpenAIのモデル「GPT-5.6 Sol」でした。セキュリティ企業のCalifが、OpenAIの「Patch the Planet」というイニシアチブの一環としてGPT-5.6 Solを使い、重大な欠陥を特定したといいます。Google傘下のWizも独自に両方の脆弱性を発見・報告しており、PHPのメンテナが修正とリリースを主導、OpenAIのチームやWiz、Cloudflareなどが公開前の調整に関わりました[2]。
パッチの公開前後には、国内外で多数のインターネットサービスが停止し、緊急メンテナンスに入りました。放置すればインターネットに公開されているWebサイトの70％を停止させかねない重大な問題だったと説明されています。サイバーセキュリティ企業Cloudflareのデーン・クネヒト最高技術責任者は、すでに「初期段階の攻撃」を確認し始めていると明かしました[1]。
事態を受け、オランダやフィンランドの複数の政府機関は予防措置としてWebサイトをオフラインにしました。米FBIのサイバー部門と米NSAは影響を受ける可能性のある組織にシステム更新を促す声明を発表し、日本の高市早苗首相やEUのコンピュータ緊急対応チームも同様の注意喚起を行っています[1]。
背景・解説
PHPは、WebページやWebアプリケーションの裏側で広く使われているオープンソースのプログラミング言語です。多くの企業サイトや業務システムがPHPで動いており、その保守・管理を担っているのが非営利団体のPHP Foundationになります。今回の脆弱性を悪用されると、攻撃者はパッチ未適用のサーバー上で遠隔から任意のコードを実行できてしまい、そこからネットワーク内部への侵入や重要データの窃取につながる恐れがあると指摘されています[1]。
OpenAIが掲げる「Patch the Planet」は、AIを使って世の中に残る重大な脆弱性を見つけ出し、修正を後押しする取り組みです。今回はそのプロセスでGPT-5.6 Solが脆弱性を特定し、Wizという別の企業も独立に同じ問題を見つけていました。OpenAIはこの脆弱性について「近年で最も影響力の大きいセキュリティ問題の一つ」と位置づける一方、AIが防御に役立つのと同じ能力が、攻撃者による攻撃ツールの開発にも利用され得ると懸念を示しています[2]。
仕事や業務への影響 — AI Topicaの見方
自社サイトやシステムにPHPを使っている企業は、担当部署の規模にかかわらずパッチ適用の優先順位を最上位に置くべきです。例えば、従業員50人規模の通販事業者で、ECサイトの保守を情シス担当者1人が兼務しているような会社では、今回のような緊急パッチ公開からサイト侵害までの時間が数時間から数日という短さになり得るため、担当者が休暇中であっても即日対応できる体制を事前に決めておく必要があります。
OpenAIがPHPバージョンチェッカーやCodexスキルの提供を予告している点も見逃せません。パッチ適用の判断に専門知識が要る場面で、こうしたツールが運用担当者の負担を減らす役立ち方をします。情報システム部門が1人しかいない中小企業ほど、こうした診断支援ツールの導入検討を後回しにしない方がよいでしょう。
今回の件は、AIが脆弱性の発見に使われたという成果と、攻撃者側もAIで攻撃ツールを素早く作れるという懸念が同時に存在する事例です。経営者や管理職は「AIがセキュリティを守ってくれる」という期待だけでなく、「AIが攻撃を加速させる側にも使われる」という前提で、自社の対応スピードを見直す必要があります。具体的には、重大な脆弱性情報が出た際に誰が何時間以内にパッチを当てるかという社内ルールを、今回の騒動をきっかけに一度点検しておくことが望ましい対応です。
不確かな点・注意
現時点で、実際にどれだけのWebサイトが侵害されたのかという全体像は明らかになっていません。Cloudflareは「初期段階の攻撃」を確認したとしていますが、侵害に成功した事例は限られており、状況は流動的だとされています[1]。
パッチ適用と悪意あるハッカーの攻撃のどちらが先行するかについても、出典の時点では不透明なままです。また、OpenAIは「今後数カ月で同様の発見が急増する」との見方を示していますが、これはOpenAI側の予想であり、実際に同様の重大脆弱性が続くかどうかは確認できていません[2]。記事中で紹介されたスタートアップ経営者の被害談についても、個別事案としての報告であり、業界全体の被害規模を示すものではない点に注意が必要です[1]。