2026年10月21日、今日のウェブの多くを支えるプログラミング言語PHPの脆弱性が公表されたことを受け、世界中の政府や組織が緊急の修正対応に追われた。このバグはハッカーにデータへのアクセスやウェブサイトの支配を許す可能性があり、米国家安全保障局、サイバーセキュリティ機関、ソフトウェアベンダーが緊急の警告を発した。

セキュリティ調査企業Califの研究者は、2026年8月、OpenAIの高度な人工知能モデルを用いてこの脆弱性を発見し、PHPを管理する非営利団体に通報した。しかし、PHP団体がソフトウェアのパッチを公開する前に脆弱性の情報が漏洩し、Amazon Web Servicesの関係者によると、ハッカーは「大規模に」悪用を試み始めたという。

この脆弱性は、単一の企業やプラットフォームをはるかに超えて影響を及ぼす。PHPは数百万ものウェブサイトの運営を支える重要なソフトウェアだからだ。では、PHPとは何か、脆弱性の発見にAIはどのような役割を果たしたのか、一般ユーザーは心配すべきなのか。

PHP: ウェブの基盤

PHPは、大多数のウェブサイトを動かしているプログラミング言語だ。現代のウェブサイトが動的なコンテンツ、視覚的要素、検索機能を提供するには、ウェブサーバー上でプログラムが動作し、ウェブアドレスの入力からリンクやボタンのクリックまで、ユーザーの入力を受け取る必要がある。推計では、約70%のウェブサイトがPHPで動いている。したがって、PHPの弱点は単一のアプリケーションの欠陥ではなく、同時に数百万のサイトが共有する層の欠陥となる。

PHPはウェブサーバー上で主に2つの部分で動作する。エンジンとランタイムライブラリからなるPHPコアシステムと、実際にウェサイトを実装する個別のカスタムプログラムであるPHPスクリプトだ。訪問者がサイトを操作すると、PHPスクリプトが実行され、ユーザー入力を受け取り、ウェブブラウザが表示する出力を生成する。

脆弱性の内容

今回のセキュリティ問題は、PHPコアシステムとそれが使用するライブラリに直接存在する。このような深いレベルに脆弱性が存在すると、攻撃者がシステム自体を悪用できる可能性がある。この場合、攻撃者はウェブサイトをホストするコンピュータ上で不正なコマンドを実行でき、データへのアクセスとサイトの完全な支配権を得ることになる。

重要なのは、これが個々のウェブサイトのコードのミスではない点だ。問題はPHPコアシステムにあるため、パッチを適用していないPHPを動作させるすべてのサーバーが脆弱となる。さらに、ウェブサイトはインターネット上の誰でもアクセスできるため、攻撃者は自動化ツールを使ってPHPベースの標的を容易に見つけ出し、脆弱性を突くエクスプロイトプログラムを実行できる。その結果、管理者が修正を適用するのと攻撃者が未パッチのサーバーをスキャンするのとの間で競争が起きており、これはAmazon Web Servicesの関係者が述べた大規模な悪用の試みにすでに見られる動きだ。

このエクスプロイトコードはPHP2Shellと呼ばれる。この名前は、それが攻撃者に「シェルアクセス」を与えることに由来する。シェルアクセスとは、ウェブサイトを動かしているコンピュータのコマンドラインを直接制御することを指すサイバーセキュリティ用語だ。シェルアクセスはウェブサイトのインターフェースを回避し、攻撃者にコマンド入力とサイトの全データへのアクセスを許す窓口となる。

AI: 両刃の剣

この脆弱性で特に注目すべきは、その発見の経緯だ。この脆弱性は「協調開示」と呼ばれるプロセス、すなわちサイバーセキュリティ研究者が公表前にPHP開発者へバグを報告するプロセスを通じて明るみに出た。今回の場合、8月の非公開報告から10月の公表まで約2か月が経過していた。

この一件は、サイバーセキュリティにおけるAIの力を浮き彫りにしている。長年にわたり、微妙なソフトウェアの欠陥を見つけるには、大規模な専門家チームが手作業でコードを精査する必要があった。今日のAIシステムは膨大なコードベースを調べ、数時間から数日で異常なパターンを特定できる。数百万行のコードを分析し、人間の監査人が数十年のソフトウェア開発を通じて見逃すかもしれない微妙なメモリ管理のバグを発見できるのだ。このPHPの脆弱性はコアコードに10年以上存在しており、AIが研究者の発見を助けた。この事例は、脆弱性発見の規模が変化しつつあることを示している。AIを活用する一人の研究者が、かつては大規模なチームを必要としたバグを発見できるのだ。

しかし、同じツールは攻撃者にも利用されうる。セキュリティ研究者がいち早く欠陥を見つけるのに役立つ推論能力は、攻撃者が脆弱な標的を迅速にウェブ上でスキャンし、エクスプロイトツールの作成を自動化することにも使える。だからこそ、セキュリティチームAIを使って脆弱性を発見し、安全かつ積極的に報告することが極めて重要であり、またAIがこうした脆弱性を緩和するパッチの公開にも役立つのである。

心配すべきか

多くの政府機関、大学、病院、企業がPHPベースのシステムに依存している。個々のインターネットユーザーが直接影響を受ける可能性は低いが、パッチ適用を遅らせる組織は、機密データの露出、業務の混乱、あるいは攻撃者により大規模なネットワークへの足場を与えるリスクを負う。

PHPは完全にリモートのウェブサーバー上で動作する。ウェブサイトを閲覧するだけの一般のインターネットユーザーは、パッチをダウンロードしたり、自分のパソコンを修正したりする必要はない。

ただし、ウェブサイト、ブログ、サーバーを管理している場合、WordPressのような一般的なコンテンツ管理システム(それ自体がPHPで動作)で構築された小規模なサイトであっても、PHPソフトウェアが最新のパッチ済みバージョンに更新されているかを確認するため、すぐにサーバー管理パネルまたはホスティング業者に確認すべきだ。ウェブサイトを第三者がホスティングしている場合は、これらの脆弱性のパッチが適用されているかを確認しよう。

PHP2Shellの発見は、サイバーセキュリティの新たな現実を示している。相互接続された世界において、ウェブインフラのセキュリティ維持は終わりのない競争だ。AIツールが防衛者と攻撃者の双方にとって標準となるなか、迅速なパッチ適用の習慣を維持することが最も重要な防御であり続ける。

この記事は、アイオワ州立大学電気・コンピュータ工学大学のダグ・ジェイコブソン教授によるもので、クリエイティブ・コモンズ・ライセンスに基づきThe Conversationから再公開された。原文を読むことができる。この記事はもともとFortune.comに掲載された。