IT之家 10月22日の消息、OpenAI社は昨日（10月21日）ブログ記事を公開し、「Patch the Planet（地球を修补）」プログラムを通じて、セキュリティ研究者がPHPプログラミング言語における2件の重大な脆弱性を発見するのを支援したと発表しました。さらにPHPメンテナンスチーム、セキュリティ企業、クラウドサービスプロバイダー、および多国のサイバーセキュリティ機関と連携し、脆弱性が公開される前に約2か月にわたる調整済み修復を完了しました。
セキュリティ企業 Calif は OpenAI の GPT-5.6 Sol モデルを活用してそのうちの1件の重要な欠陥を発見した。グーグル傘下の Wiz は独立して関連する脆弱性を発見し報告した。PHP の公式メンテナーが脆弱性の検証、修正の開発およびバージョンのリリースを主導し、OpenAI、Wiz、Cloudflare などが研究、技術支援および機関間の調整を提供することで、公開披露の前に防御準備を完了させた。
OpenAIは、これは攻撃者より先に高リスクの脆弱性を発見したフロンティアAIの事例であり、メンテナーや防御側にいわゆる「防御者の窓」をもたらすものだとしている。ただし同社は、同じAI能力が攻撃者によって攻撃ツールやエクスプロイトをより迅速に開発するために利用される可能性もあると認めており、セキュリティ上のリスクと防御価値が並存している。
IT之家が以前報じたところによると、今回暴露された2件の脆弱性は総称して「PHP2Shell」と呼ばれている。それぞれ CVE-2026-109618 と CVE-2026-109619 と番号が付けられている、CVSS v4.0 スコアはいずれも 9.2 です。
PHP は世界中の大量のウェブサイトやウェブアプリケーションを支えるオープンソースのスクリプト言語で、業界では約 70% のウェブサイトがその稼働に依存していると推定されています。本次の脆弱性により、認証されていない攻撃者がリモートでコードを実行し、その結果、ウェブサイトのコンテンツの改ざん、機密データの読み取り、サーバーへの侵入が可能になる恐れがあります。PHP 財団はすでに 10 月 21 日に緊急セキュリティアップデートを公開しており、修正バージョンには PHP 8.5.12、8.4.27、8.3.36、8.2.35 が含まれる。
リスク調査を運営者側が行えるよう支援するため、OpenAI は PHP バージョン確認ツールを Codex スキルとして公開しており、運用担当者が影響を受ける可能性のある PHP バージョンを特定し、公式のアップグレードガイドと組み合わせて適用可能な修正策を判断できるようになっている。
OpenAIは、PHPを利用している組織に対し、できるだけ早くパッチを適用し、システムの露出状況を確認したうえで、CISAのリスク優先度ガイダンスに従って緊急の修正、暫定的な緩和策、または計画的なアップグレードを行うことを推奨している。
OpenAI は同時に、10 億ドル(IT之家注：現在のレートで約 66.91 億人民元に相当)を投入し、「Daybreak for Frontline Defenders」を通じて、セキュリティリソースが限られ、重要なサービスを担当する組織に補助付きアクセスを提供し、AI を活用した脆弱性発見、システム監視および緊急対応を支援すると発表しました。
同社はまた、AI時代に対応した脆弱性対応フレームワークを提唱しており、上流での検証と修正、影響を受ける機関への事前通知、政府との連携、製品横断的な更新の準備、パッチ公開後の展開サポートといった5つの段階を網羅している。
関連記事：