PHPで重大な脆弱性2件が見つかり、各国のサイバー当局がアップデートを呼び掛けている。欧州では、政府機関や病院、学校などが被害防止のためWebサイトへのアクセスを遮断する動きも出ている。

問題が指摘されたのは、世界のWebサイトの最大70%で使われているとされるプログラミング言語PHPだ。脆弱性の情報は公開フォーラムで報告され、PHPを管理する組織もこれを確認した。

韓国インターネット振興院（KISA）や米サイバーセキュリティ当局（CISA）は利用者に更新を勧告した。英国の国家サイバーセキュリティセンター（NCSC）とEUのCERT-EUもリスクについて警告している。

韓国のセキュリティ企業Theoriによると、今回見つかった「PHP2Shell」は、Webアプリケーションの実装コードではなく、PHPエンジン自体の欠陥に起因する脆弱性だ。攻撃者は追加認証なしでサーバー上でリモートから任意のコードを実行し、サーバーの制御を奪ったり、プロセスのメモリを読み取ったりできるという。

影響を受けるのは、PHP 8.2.34、8.3.35、8.4.26、8.5.11以前のバージョンに加え、サポートが終了したPHP 8.1以前の全バージョン（7.x、5.xを含む）。PHP側は、8.2.35、8.3.36、8.4.27、8.5.12などの修正版へ速やかに更新するよう呼び掛けている。

今回の脆弱性は10年以上潜伏していた可能性があり、その発見にAIが活用された点も注目を集めている。Googleが買収したセキュリティ企業Wizと、OpenAI主導のプロジェクトを通じて明らかになったという。

TechCrunchによると、Wizは自社のセキュリティAIエージェント「Wiz Atlas」に加え、Googleの「Gemini 4 Argon」とOpenAIの「GPT-5.6 Sol」を組み合わせて脆弱性を発見した。

また、セキュリティテスト企業Califは、OpenAIがオープンソースソフトウェアの欠陥を事前に見つけて修正するために進める「Patch the Planet」プロジェクトを通じ、PHPの欠陥の一つを特定したとしている。CalifもOpenAIのAIモデル「GPT-5.6 Sol」を活用したという。

The Atlanticが21日（現地時間）に報じたところによると、フィンランドの保健当局、ロッテルダム港、パリ警察、オンラインコミュニティの4Chanのほか、欧州の複数の政府機関、病院、学校のWebサイトが、ハッキング防止のためアクセスを遮断した。

米国家安全保障局（NSA）も、PHPの脆弱性を直ちに修正できない企業に対し、該当サービスの停止を勧告した。

The Atlanticは、パッチ適用まで数週間かかる可能性があると伝えた。その間にも、数千万台規模のサーバーやデータベース、各種機器が攻撃対象となる恐れがあり、AIの支援を受けたとみられる悪用の試みもすでに検知されているという。

Palo Alto Networksの上級副社長、サム・ルビン氏は「PHPはインターネットを支える基盤技術の一つだ」と指摘した。

The Atlanticは、インターネットは長年にわたり多くのバグを抱えてきたが、脆弱性の発見と悪用には時間がかかり、熟練したハッカーも限られていたため、一定の均衡が保たれてきたと説明する。だが、AIの普及がその均衡を崩しつつあるという。

毎月見つかるソフトウェア脆弱性は過去1年で2倍に増え、ハッカーが実際の攻撃に転用するまでの時間も、一部推計では「数週間」から「数時間」へと短縮した。AIで自動化された侵入が39秒で完了した事例もあるとしている。

防御側もAIを活用しているが、専門家は、AIによって攻撃側と防御側の非対称性がさらに拡大する可能性があるとみている。攻撃者は新技術をためらわず導入できる一方、企業側はリスク管理の観点から採用に慎重になりやすいためだ。The Atlanticは、病院や送電網では、AIセキュリティツールの誤作動が生命維持装置の停止や停電につながるリスクを許容しにくいと伝えた。

なお、PHPの欠陥が公表された同日には、多くの開発者が利用するJavaScript開発フレームワークNode.jsの開発チームも、複数の高リスク脆弱性を公表した。