米国国家安全保障局（NSA）は 警鐘を鳴らす警告を 水曜日に発出し、PHPに2つの重大な脆弱性が見つかり、修正パッチがすでに PHP Foundationによって公開されたと伝えました.
PHPはサーバーサイドのプログラミング言語で、ウェブアプリケーションに非常に広く使われており、インターネット上の およそ70%のウェブサイト を支えています。ある集計では、それは 3,300万以上のサイトに相当します。また、WordPressのような人気のコンテンツ管理システムでも利用されています。
NSAは、これらの脆弱性が非常に深刻であるため、ウェブサイトを直ちにパッチ適用できない場合は、適用できるまでウェブから切り離すべきだと警告しました。これらの脆弱性により、攻撃者はサーバーのファイルシステムや、ウェブアプリが使用している可能性のあるデータベースに侵入できます。
興味深いことに、これらの脆弱性は、2004年にリリースされたバージョン5以来、すべてのバージョンのPHPに潜んでいました。比較的新しいバージョンのPHPを実行していないウェブサイトには更新作業が必要です。PHP 8.1以前のバージョンはすでにサポートされていないためです。推奨事項は、ウェブサーバーを現行バージョンのPHPである8.5.12に更新することです。
では、インターネット上のほぼすべてのウェブサイトに影響する、このような至る所に存在する何十年も前の脆弱性が、なぜ突然明るみに出たのでしょうか？ 当然ながらAIです。特にOpenAIとGoogleのWizを通じてです。
セキュリティテスト企業のCalifは、オープンソースソフトウェアの脆弱性を見つけるOpenAIの「Patch the Planet」イニシアチブに参加していました。GPT‑5.6 Solを使用して、その脆弱性の1つを発見したと、OpenAIが ブログ投稿で明らかにしました。別個に、WizチームもAI、すなわちWiz AtlasセキュリティAIエージェント、Gemini 4 Argon、そしてGPT-5.6 Solを使用して、PHPの複数の脆弱性を発見しました。
OpenAIとWizの両社は責任あるセキュリティ研究の慣行に従い、脆弱性を一般公開する前にPHPと協力してパッチを作成しました。その後、全員が協力して発見内容を詳細化し、パッチをテストするため、多くの他社も協力に巻き込みました。
WizはAutomattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercelに感謝を表明しました。（WordPressサイトはPHPを使用していますが、WordPressは 声明を発表し 、この脆弱性はWordPress固有のものではなく、同社のCMSを実行しているサイトはサーバーにパッチを適用し、ウェブホスティング会社と協力してサイトが保護されていることを確認する必要があると述べました。）
OpenAIによると、これらの脆弱性はハッカーに発見される前に研究者によって発見されました。そのため、野外での悪用の報告はありませんでした。これは、AI以前にはこれらの脆弱性がハッカーにとって悪用するには難しすぎたことにも一部起因します。「AIがあれば、これはもはや障壁ではありません。LLMは異なるPHPバージョン、構成、メモリレイアウトにエクスプロイトを適応させるのに役立ちます」と、 Wizはそのブログで これらの脆弱性について警告しました。
言い換えれば、これはAIのおかげで発見され防がれたセキュリティ問題であると同時に、AIゆえにのみ高いリスクとなる種類の問題なのです。
今や問題が公開された以上、ハッカーは完全にその情報を知っています。ハッカーがパッチ未適用のサイトを攻撃できるようになる前に、インターネット上の数千万のウェブサイトにパッチを適用する競争が始まっています。そのためNSAは、PHPウェブサイトを直ちにパッチ適用できない場合は、適用できるまでオフラインにする方が良いというガイダンスを出したのです。