PHPの脆弱性はAIが発見、人間にはほぼ限界　影響はインターネットの70％に

（CNN） 世界中のインターネットの約70％に使われているプログラミング言語「PHP」に重大な脆弱（ぜいじゃく）性が見つかった。この問題について同時に発表した3社はいずれも、人工知能（AI）を使って脆弱性を発見していた。

今回の脆弱性の存在は、米オープンAIとグーグル傘下のサイバーセキュリティー企業ウィズ、別のセキュリティー企業のカリフがそれぞれ21日に公表した。「PHP2Shell」と命名されたこの脆弱性は、悪用された場合、不正なコードを実行されたり、パスワードなどの重要情報を含むメモリを読み取られたりする恐れがある。

今回の発見にはAIが重要な役割を果たした。各社の研究チームはそれぞれAIを利用することで、複数のアプリにまたがるサイバーセキュリティー調査をわずか数時間で実行できたと伝えている。AIをめぐっては、技術の進歩がサイバー攻撃の激化につながりかねないと指摘され、政府も業界も懸念を強めていた。

「最先端のAIモデルと適切なツールを使うことで、かつては世界レベルのチームが何カ月もかけてやっていたようなことを、たった1人の研究者が1週間で完了できた」。ウィズの研究チームは21日のブログにそう記している。

ウィズが使用したのはグーグルのAI「Gemini 4 Argon」と「Wiz Atlas」、およびオープンAIの「GPT-5.6 Sol」。発見は8月下旬だったが、PHPの修正プログラムが完了するのを待って、21日に公表した。

PHP運営団体のPHP財団は、今回の脆弱性を修正する更新プログラムを公開し、ウェブサイト運営者らに対して直ちにシステムを更新するよう促している。

ウェブインフラ提供企業のクラウドフレアによると、今回の脆弱性を悪用された場合、攻撃者がサイバー攻撃を仕掛けてサービスを妨害したり、顧客情報などを流出させたりすることが可能だという。クラウドフレアはPHP財団やカリフ、オープンAI、ウィズと連携して対応にあたっていた。

米国家安全保障局（NSA）はSNSへの投稿を通じ、PHPを使っている場合はシステムを更新するよう呼びかけた。もし更新できない場合はインターネットから切り離すよう勧告している。欧州でも脆弱性の発覚を受けて企業などがシステムの更新を急ぐ中、政府の公式サイトがつながらなくなった国もあるとロイター通信は伝えている。

ウィズによると、今回の脆弱性の重大性は、2014年に発覚した「ハートブリード」と呼ばれる脆弱性に匹敵する。情報の暗号化技術にかかわるハートブリードは、本来なら保護されるべき情報に対する不正アクセスを許してしまう脆弱性だった。

ハートブリードと同様に、今回のPHPの脆弱性も、サイバーセキュリティーの転換点になるかもしれないとウィズは予測する。この脆弱性自体は何年も前から存在していたが、AIの登場によって現実のサイバー攻撃に利用することが可能になった。

「根底にある脆弱性は何十年も前から存在していた。だが悪用できることを実証するためには、とてつもなく複雑な手順の連鎖が必要とされ、人間の研究者が現実的に達成できる限界に近かった」。ウィズはブログでそう解説している。「最先端のAIモデルはその障壁を大幅に引き下げて、ずっと前からあった欠陥を、悪用できる抜け穴へと転換させた」