OpenAIのAIが10年来のPHPの脆弱性を発見、修正を調整

世界のウェブサイトの大部分を支えるスクリプト言語PHPに2つの深刻なセキュリティ上の欠陥が見つかり、今週、異例の世界的な大慌てが起きた。OpenAIとセキュリティ研究者によると、これらのバグはOpenAIのAIツールの支援を受けて発見され、ソフトウェアのメンテナー、セキュリティ企業、クラウドプロバイダー、各国のサイバーセキュリティ機関が参加する協調的な急ピッチの作業で修正された。

PHP2Shellという愛称でまとめられ、CVE-2026-109618およびCVE-2026-109619として追跡されている2つの脆弱性は、どちらもCVSS v4.0の深刻度スケールで10段階中9.2と評価された。最悪の場合、攻撃者は脆弱なサーバー上で任意のコードを実行できる。これはウェブセキュリティとしてほぼ最悪の事態だ。これらの欠陥は10年以上にわたってコードベースに潜んでいたと報告されている。

発見は、AIモデルとセキュリティ研究者を組み合わせて広く使われているオープンソースソフトウェアの弱点を探す取り組みであるOpenAIのPatch the Planetプログラムからもたらされた。セキュリティ企業Califとクラウドセキュリティ企業Wizが、8月にAIの支援を受けてPHPの問題を独立に明らかにしたとされている。その後、誰かがこれらのバグを武器化する前に修正を準備するための約2か月間の静かな作業が続いた。

その計画は、10月20日に詳細が漏洩したことで頓挫した。どうやら協調リリースの予定日より前だった。この漏洩により、PHPの運用チームは長い夜を過ごすことになり、管理者たちは影響範囲を評価し、緩和策を適用しようと急いだ。PHP Foundationは10月21日に公式パッチを公開し、OpenAIは同じ日に一連の取り組みについての説明を公開した。

この話は開発者フォーラムの枠をはるかに超えて重要だ。PHPはインターネット上のコンテンツ管理システム、フォーラム、ストアフロントを支えており、中国のテックメディアで流れている推定では、その普及率はウェブサイトの約70％に達する。この層におけるリモートで悪用可能な欠陥は、ニッチなものではなくシステム的なリスクであり、だからこそクラウドプロバイダーや政府のセキュリティ機関が対応に加わったのだ。

OpenAIにとって、Patch the PlanetはAIが脆弱性研究をどのように変えるかについての声明でもある。大規模にバグを見つけることは、伝統的に遅く手作業の仕事だった。AIモデルは膨大なコードベースを迅速にスキャンできるが、より難しいのはその後に続く人間の仕組みだ。発見の検証、パッチの作成、ベンダーへの警告、そしてユーザーが更新できるまですべてを秘密に保つこと。PHPの一件は、漏洩のプレッシャーの中でその仕組みを試した。

この一件はまた、高まる緊張も浮き彫りにしている。AI支援による発見は、より多くの欠陥がより速く表面化することを意味し、すべてのプロジェクトが迅速に対応できるメンテナーやリソースを持っているわけではない。かつて業界の静かな片隅だった協調的開示の規範は、互いにほとんど話さない企業や機関を巻き込む世界的な物流演習になりつつある。

一般ユーザーや企業にとって、実用的なアドバイスは変わらない。PHPのインストールと依存ソフトウェアを速やかに更新し、ベンダーの勧告に注意を払うことだ。業界にとっての教訓は、AIが今やセキュリティサプライチェーンの一部であり、競争はもはやバグを見つけることだけでなく、インターネットが知る前に修正することにある、ということかもしれない。