“緊急メンテの夜”までの一部始終は？ 8月にAIで「PHPの重大な脆弱性」発見→OpenAIが即応チームを招集（1/3 ページ）

10月21日夜に始まった企業の「緊急メンテナンス」。その原因である「PHPの脆弱性」を発見したのは、OpenAIのAIモデルだった。一連の出来事について時系列を追う。

[ロイター]

　高性能化するAIを巡り、サイバー攻撃の高度化に悪用しようとする側と、それを防御するためにAIを活用しようとする側との間で、新たな攻防戦が繰り広げられている。

　その一例が、10月21日夜（日本時間、以下同）に多数のITサービスが「緊急メンテナンス」に入った“騒動”だ。防御側は2026年夏、放置すればインターネットに公開されているWebサイトの70％を停止させかねない重大な問題を、AIで特定した。この件で、攻撃者側に一歩リードできたと期待している。

　発見されたソフトウェアの欠陥に対する修正パッチも公開された。しかし、悪意あるハッカーがこの脆弱（ぜいじゃく）性を悪用してWebサイトを攻撃し、重要なデータを盗み出すのが先か、Webサイトへのパッチ適用が間に合うのが先かは、依然として不透明だ。

関連記事：【一体何が？】21日夜に「緊急メンテナンス」続々　業務ツール、ソシャゲ、通販、自治体Webサイトなど

PHPの脆弱性を「恐れるべきだ」　注意喚起が続々、高市首相も

　ほとんどのWebページは「PHP」というオープンソースのプログラミング言語を使っている。この言語は、非営利団体であるPHP Foundation（PHP財団）が保守・管理している。同財団は今回、2件の「重大なソフトウェア脆弱性」を公表し、緊急の修正パッチを10月21日午後11時に公開した。Webサイトの運営者に対し、直ちにパッチを適用するか、対応が完了するまでサイトを停止するよう強く求めている。これらの脆弱性には、それぞれ「CVE-2026-109618」と「CVE-2026-109619」という識別番号が付与され、総称して「php2shell」と呼ばれている。

PHPは多くの企業が利用している（画像：ゲッティイメージズ）

　パッチの正式公開に先立ち、脆弱性に関する報道が広がると、これに便乗した一部の攻撃者が悪用を試みた。数百万のWebサイトに対してセキュリティ保護を提供しているサイバーセキュリティ企業の米Cloudflareのデーン・クネヒト氏（CTO：最高技術責任者）によると、すでに「初期段階の攻撃」を確認し始めているという。

　ただし、侵害に成功した事例は、現時点ではまだ限られており、状況も流動的だ。しかし、あるスタートアップ企業の経営者は、PHPのバグについて「極めて深刻だ」と報告し、誰もが「恐れるべきだ」と述べた。同氏が念頭に置いているのは、攻撃者にソースコードを盗まれたほか、ユーザー識別用データ「Cookie」（クッキー）を暴露され、法的文書も流出させられたという事案だ。

　ロイター通信（英Reuters）によれば、オランダやフィンランドの複数の政府機関が、安全上の予防措置としてWebサイトをオフラインにすることを決めた。米連邦捜査局（FBI）のサイバー部門と米国家安全保障局（NSA）は、影響を受ける可能性のある組織に対し、システム更新を促す声明を発表。日本の高市早苗首相、欧州連合（EU）のコンピュータ緊急対応チーム、その他複数の国の機関も同様の注意喚起を行った。

MicrosoftやWikipediaも使う「PHP」とは何か？

　「PHPの脆弱性が及ぼす影響は甚大であり、適切な時期にパッチを適用できなければ、数多くのWebサイトが直ちに攻撃を受ける危険にさらされる」――イリノイ大学アーバナ・シャンペーン校グレインジャー工学部でコンピュータサイエンスを専門とするギャング・ワン准教授は雑誌『フォーチュン』（Fortune）にこう語った。

　このバグを悪用すると、攻撃者はパッチ未適用の脆弱なPHPシステム上で、遠隔から任意のコードを実行できる。攻撃者はこれを「そのマシンがつながっているネットワークへの侵入経路」として利用し、そこから重大な被害をもたらす攻撃を仕掛ける可能性があると、イリノイ大学のInformation Trust Institute（情報信頼研究所）のデビッド・ニコル所長は説明した。