“緊急メンテの夜”までの一部始終は？ 8月にAIで「PHPの重大な脆弱性」発見→OpenAIが即応チームを招集（3/3 ページ）

[ロイター]

　この脆弱性の一部を最初に発見したのは、米カリフォルニア州を拠点とするAIレッドチーム企業のCalifだった。同社は、OpenAIが主導するセキュリティ対策の取り組み「Patch the Planet」（地球を修復しよう）に参加していた。

　Califは、PHPを調査対象に選んだ理由について「影響の大きい標的として際立っていた」ためとしている。同社はPHP財団のフォルカー・ドゥシュ氏に連絡を取り、その後「PHPのハッキングに取り掛かった」。

　Califのチームは、PHPが長年にわたってサイバーセキュリティの専門家たちに厳しく精査されてきたため「重大な脆弱性が見つかるとは予想していなかった」という。ところが、最終的に発見したバグは「実に14年間もPHPに存在していた」と、OpenAIのブロックマン氏は指摘した。

　「この問題のごく一部は2024年にも発見されていたが、当時は重大な問題とは見なされなかった」（ブロックマン氏）

　しかし、AIモデルが攻撃手順を自律的に実行できるようになった現在、悪用するのが難し過ぎる脆弱性は、ほとんど存在しなくなっている。

　「php2shellは、AIが埋もれていた欠陥を発見し、複雑な攻撃用コードの連鎖を実行できることを示している。その結果、潜在的なリスクが高まる」――米国の非営利団体であるCenter for Internet Security（インターネットセキュリティセンター）で、脅威インテリジェンス部門のシニアディレクターを務めるTJ・セイヤーズ氏は、フォーチュン誌にこう語った。

8月1日に発見→OpenAIが“連合”を結成　修正パッチ配布までの経緯は

　8月1日、CalifはGPT-5.6 Solを使用して最初の問題を発見した。同社は、OpenAIに報告。OpenAIも独自に調査を進め、バグのさらなる要素を発見した。これにより発見内容の網羅性が高まったことで、この欠陥がCalifの当初の認識よりも深刻であることが明らかになったと、OpenAIの広報担当者はフォーチュン誌の取材に答えた。

　その後、OpenAIはこの問題についてPHP財団との協議を開始した。その過程でOpenAIは、米Alphabet傘下のサイバーセキュリティ企業であるWizも、同財団とこの問題について話し合っていることを知った。

　Wizの研究者らも、8月にこの脆弱性を独自に発見していた。同社がPHPの調査を始めたのは、PHPが「インターネットの屋台骨」だからだと、Wizの広報担当者はフォーチュン誌に説明した。

　同担当者は、複数の組織が並行して同じ問題を調査していたことが「偶然」に見えるかもしれないと認めた。しかし、Wizのチームは、影響の大きいデジタルインフラを調査することを使命としており、PHPはその中でも重要な調査対象だったという。

　Wizのチームは8月19日、米GoogleのAIモデル「Gemini 4 Argon」、OpenAIのGPT-5.6 Sol、そしてAIによる脆弱性調査システム「Wiz Atlas」を組み合わせて使用し、最初の問題を特定した。

　Wizはブログ記事で「インターネットの70％が影響を受けるという点を踏まえると、php2shellの影響を過小評価することはできない」と述べた。

　さらに同ブログで「これはAIが転換点を迎えたことを示している。脆弱なコードは10年以上前から存在していた。AIがもたらしたのは、その弱点を理解し、実際に機能するエクスプロイトへと変換する能力である」と指摘した。

　その後、OpenAIは関係者全員を集めることを決定。「重大な脆弱性に対処するため、ソフトウェアの保守担当者、研究者、セキュリティサービス事業者から成る連合」を主導したと説明した。

　この取り組みには、Wiz、Calif、PHP財団、Cloudflareのほか、複数の米政府機関などが参加した。Cloudflareのブログ記事では、この取り組みに加わった組織として、フランスのサイバーセキュリティ企業Quarkslabの名前を挙げている。