AIが発見したPHPの重大な脆弱性：背景と対策を緊急解説

世界中のウェブサイトの約7割で使用されているプログラミング言語「PHP」において、深刻な脆弱性が2件発見されました。本動画では、AIによって発見されたこの「穴」の正体と、総理大臣が異例の呼びかけを行うに至った事態の深刻さ、そしてサイト運営者が取るべき対策を初心者向けに解説しています。

PHPに潜む「深刻な穴」の正体

PHPはウェブサイトの裏側でページを組み立てる、いわば「厨房」のような役割を果たす言語です。今回、このPHPに2つの重大な脆弱性が見つかりました。世界共通の物差しであるCVSS（深刻度）では、10点満点中「9.2」という、最も危険な「緊急（Critical）」に分類されています。原因は、処理を打ち切ったり終えたりする際の「後片付けの不具合」にあります。悪意のある攻撃者が細工したアクセスを行うと、ログイン不要でサーバー上で好きな命令を実行される恐れがあり、パスワードの窃取やサイトの詐欺悪用につながる危険性があります。

AIによる発見と異例の緊急対応

今回の脆弱性の発見にはAIが活用されました。専門家たちがOpenAIなどのAIを使って発見し、PHPの開発チームやOpenAI、米政府機関、Cloudflareなどが約2ヶ月かけて公開前に準備を進めてきました。しかし、10月21日0時ごろに情報がリークされたことで事態は急変します。当初10月22日に予定されていた修正版の公開は1日前倒しされ、その間にも実際の攻撃の試みが観測されました。10月21日の夜には、総理大臣が「大至急」の対応を呼びかける異例の事態となり、国内でも銀行、鉄道、ゲーム、行政など50を超える組織がサービスの停止などを告知しました。

サイト運営者が今すぐやるべきこと

10月21日の夜に修正版が公開されました。対象となるのはPHP 8.2から8.5の4系統です。特に注意が必要なのは、サポートが終了している「8.1以前」のバージョンを使用している場合です。これらは正式な修正版が出ないため、非常に危険な状態にあります。現在、約115万ものサーバーが依然として8.1以前の古い版を使用していると見られています。サイト管理者は以下の対応が必要です。 ・PHPのバージョンを確かめ、修正版（8.5.12、8.4.27、8.3.36、8.2.35以上）へ更新する ・更新後は再起動を行う ・レンタルサーバー利用者は運営からのお知らせを確認する なお、WordPressのプラグイン更新だけではこの問題は解決しない点に注意が必要です。

AI時代のセキュリティの怖さ

本当に恐ろしいのは、修正版が公開された後です。修正前と後のソースコードを比較することで、攻撃側にとっても「どこが弱点だったか」という手がかりが明らかになります。2024年の事例では、公開から24時間以内に攻撃の試みが観測されました。AIで穴を探す力は、守る側だけでなく攻める側も利用できるため、OpenAIはこうした発見が今後急増すると見込んでいます。これからは「AIが穴を見つける時代」であり、守る側の対応の速さがより一層試されることになります。

なぜ重要か

AIが脆弱性発見のプロセスを劇的に加速させたことで、ゼロデイ攻撃のリスクがこれまで以上に高まっています。修正パッチの公開から攻撃開始までの猶予時間が極端に短くなっており、サイト運営者には「数日以内」ではなく「数時間以内」の対応が求められるフェーズに突入したことを示唆しています。

こんな人におすすめ

ウェブサイトを運営している個人・法人の担当者や、ITセキュリティの最新動向に関心がある人。PHPのアップデートの重要性と、AIがセキュリティに与える影響を理解できます。