OpenAIは21日、「Patch the Planet（地球を修復する）」計画を通じて、セキュリティ研究者がPHP言語における2件の重大な脆弱性を突き止めることを支援し、保守チーム、セキュリティ企業、クラウド事業者、多国のサイバーセキュリティ機関と連携して、公開前におよそ2ヶ月間の調整済み修復を完了したと発表した。
2件の脆弱性は総称して「PHP2Shell」と呼ばれ、CVE-2026-109618 と 109619 として登録され、CVSS v4.0 のスコアはいずれも 9.2 に達している。セキュリティ企業 Calif は OpenAI の GPT-5.6 Sol モデルを用いてそのうちの1件の重大な欠陥を発見し、Google 傘下の Wiz は独自に報告した。PHP 公式保守担当者が検証・修復・リリースを主導し、OpenAI、Wiz、Cloudflare などが研究、技術支援、機関横断的な調整を提供した。OpenAI は、これは攻撃者に先んじて高危険度の脆弱性を発見したフロンティアAIの実例であり、防御側に「防御者の窓」をもたらしたが、同じ能力が攻撃者によって悪用を加速される可能性もあると述べた。
7割のウェブサイトが影響、パッチは公開済み
PHP は膨大な数のウェブサイトを支えるオープンソースのスクリプト言語であり、業界では約 70% のウェブサイトがその稼働に依存していると推定されている。今回の脆弱性により、権限のない攻撃者がリモートでコードを実行し、コンテンツの改ざん、データ窃取、さらにはサーバーへの侵入が可能となる。PHP 財団はすでに 21 日に緊急アップデートを公開し、修正版は 8.5.12、8.4.27、8.3.36、8.2.35 をカバーしている。
運用担当者の調査を支援するため、OpenAI は PHP バージョンチェックツールを公開した。同時に、「Daybreak for Frontline Defenders」を通じて、リソースが限られ重要なサービスを守る組織に対し、AI セキュリティ能力を補助するため 10 億ドルを投入すると発表した。AI がつないだこの世界規模の協力による防衛は、脆弱性対応を「攻撃者に先んじる」新たなリズムへと引き寄せている。