ウェブサイトの構築などに広く使われるプログラミング言語「PHP」に、サーバーの乗っ取りにつながる重大な脆弱性が2件見つかった。10月21日に公開された修正版は、いずれも深刻度が10段階中9.2と評価された欠陥に対応したものだ。この脆弱性の発見には人工知能（AI）が貢献し、以前から兆候があった欠陥の危険性を明らかにしたという。
AI活用で長年の隠れたリスクが判明
アメリカのセキュリティ企業Califは、OpenAIの取り組み「Patch the Planet」の一環でPHPを調査し、8月11日にメモリー不足時の処理に関わる重大な欠陥をPHPプロジェクトに報告した。OpenAIも同日、同じ根本原因を持つ欠陥を独自に報告し、9月18日には別の攻撃経路も報告した。米国のセキュリティ企業Wizも、Googleの「Gemini 4 Argon」やOpenAIの「GPT-5.6 Sol」などのAIを活用して脆弱性を調査し、8月24日に今回の2件に関する発見をPHPプロジェクトに報告した。こうした調査で欠陥の危険性が具体化し、PHPプロジェクトによる修正につながった。
サーバー乗っ取りの恐れ、国内サービスにも影響
原因は、メモリー不足などで処理が中断した際、内部データが不完全な状態で残ったり、解放済みのメモリーを後の処理で誤って使ったりする不具合だ。悪用されると、攻撃者がログインしなくてもサーバー上で不正なプログラムを実行し、設定や権限によってはウェブサイトの改ざんや情報の窃取につながる恐れがある。
PHPは「WordPress」など多くのウェブサービスで使われているため、影響は広範囲に及ぶ可能性がある。実際に、日本国内ではネットショップの「BASE」やイラスト投稿サイトの「pixiv」、ゲームサービスなどが緊急メンテナンスや一時停止に入った。海外でも政府機関のウェブサイトの停止が報じられ、予防的な措置を含め、脆弱性への対応が広がっている。
PHPプロジェクトによる脆弱性への対処には技術的な難しさがあった。2024年の外部監査でも、今回のうち一方の欠陥につながる問題の兆候が見つかっていた。しかし、具体的な攻撃方法が分からず、修正による互換性への影響も懸念されていた。2026年8月、AIを活用した調査で攻撃の可能性が具体化し、PHPプロジェクトは脆弱性を修正する作業を優先した。日本時間の10月21日未明には、脆弱性の識別番号と誤った深刻度などがインターネット上に流出。PHPプロジェクトは事前告知と修正版の公開を前倒しした。流出時点では、技術的な詳細は公開されていなかった。
迅速な更新を要求、AI時代の防衛戦
PHPプロジェクトは、脆弱性を修正したバージョンとして8.5.12、8.4.27、8.3.36、8.2.35を公開した。ウェブサイトの管理者などは、利用環境に応じた修正版へ更新することで、今回の2件の脆弱性に対処できる。PHP 8.1以前はPHPプロジェクトによる通常の修正提供が終了しているため、利用環境の提供元に対応状況を確認し、必要に応じてサポート対象の版へ移行する必要がある。今回の事例は、AIがソフトウェアの欠陥を見つけて防御を強化する一方、攻撃手法の発見にも利用され得ることを示している。
（画像はイメージ）