PHPに数十年潜伏の重大脆弱性、AIが発見
原題: PHP armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
なぜ重要か
AIによる脆弱性探索が「攻守両面」で機能し始めた現実を示す事例として、セキュリティ業界の手法と脅威モデルを根本から変えうる。
米国家安全保障局（NSA）は2026年10月21日、PHPに2件の重大な脆弱性が発見されたと警告した。発見にはOpenAIとGoogle傘下のWizがAIを活用。PHPはインターネット上の約70%・3300万超のサイトを支える言語で、PHP Foundationはすでにパッチを公開。NSAは即時適用が困難なサイトは一時閉鎖を推奨している。
今回発見された2件の脆弱性は、2004年リリースのPHP 5以降、全バージョンに存在していたとされる。攻撃者がサーバーのファイルシステムや、Webアプリが利用するデータベースに侵入できる深刻な欠陥だ。NSAは「即時パッチ適用が不可能なサイトはオフラインにすべき」と異例の強さで警告した。
WordPressなど多数のCMSもPHPを基盤とする。Automatticは「この脆弱性はWordPress固有ではなく、サーバー側での対応とホスティング会社との連携が必要」と声明を出した。推奨される対応はPHPを現行版の8.5.12へ更新すること。PHP 8.1以前はすでにサポートが終了しており、古いバージョンを動かすサイトは追加の作業が必要になる。
発見の経緯も注目を集めている。セキュリティ企業CalifがOpenAIの「Patch the Planet」イニシアチブに参加し、GPT‑5.6 Solを使って脆弱性の一つを特定。Wizも独自にWiz Atlas、Gemini 4 Argon、GPT-5.6 Solを組み合わせ、複数の欠陥を見つけた。両者は責任ある開示（Responsible Disclosure）の手順を踏み、PHP Foundationと協力してパッチを作成・検証した後に公表。Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercelも検証に協力した。
OpenAIによれば、今回の脆弱性はハッカーに先んじて研究者が発見したため、実際の悪用（エクスプロイト）は確認されていない。しかしWizは「AIが登場する以前、これらの欠陥はハッカーにとっても悪用が困難だった。LLMはPHPのバージョン・設定・メモリレイアウトの違いを超えてエクスプロイトを適応させることができ、もはや技術的障壁にならない」と警鐘を鳴らす。つまり、AIがあったからこそ発見・修正できた脆弱性でありながら、AIがあるからこそリスクが急上昇するという二律背反の状況が生まれている。