GPT-5.6とGemini 4が人間より先に数百万サイトに影響するPHP重大脆弱性を発見 — LLMが攻撃スケーラビリティを変える構造的転換点

10月22日、The Decoderが「OpenAI's GPT-5.6 Sol and Google's Gemini 4 Argon found critical PHP flaw affecting millions of websites」と題した記事を公開した。注目すべきは脆弱性の発見そのものより、LLMがエクスプロイトの「バージョン間適応」を自動化したという事実だ。従来なら「現実的に悪用不可能」とされてきた脆弱性クラスが、今後は標的になりうる——セキュリティ業界の前提が根底から覆される可能性を、今回の事例は示している。

AIが人間より先に脆弱性を発見した

OpenAIのGPT-5.6 Solが、Patch-the-Planet initiativeの一環としてPHPの重大な脆弱性を特定した。Patch-the-Planet initiativeは、AIを活用してオープンソースソフトウェアの脆弱性を組織的に発見・修正することを目的とした業界横断的なプログラムであり、OpenAIが主導する形で推進されている。OpenAIはこの発見を「近年記憶の中で最もインパクトのあるセキュリティ上の問題のひとつ」と表現している。

このモデルが攻撃者より先に脆弱性を発見したことで、開発者やセキュリティベンダーが対応するための時間的猶予が生まれた。自分のサーバーが影響を受けているか確認できるチェックツールはGitHub上で公開されている。

同じ脆弱性は、セキュリティ企業Wizも独自に発見している。WizはWiz AtlasプラットフォームにGoogleのGemini 4 ArgonとGPT-5.6 Solを組み合わせて解析を行った。Wizによると、Gemini 4 Argonは脆弱性の発見だけでなく、エクスプロイトの開発、攻撃検知の構築、パッチの検証においても特に有用だったという。

「PHP2Shell」が示す脅威の変質

今回の脆弱性はPHP2Shellと呼ばれ、リモートコード実行（RCE）を可能にするものだ。RCEとは、攻撃者がサーバー上で任意のコードを遠隔から実行できる状態を指し、サーバー乗っ取りやデータ窃取につながる深刻なクラスの欠陥である。PHPはWebサーバーサイドスクリプト言語として世界のWebサイトの約75%以上で使用されており、このクラスの欠陥が持つ潜在的影響範囲は極めて広い。なお、本稿執筆時点でCVE番号の公式採番については元記事に記載がなく、詳細はNational Vulnerability Databaseでの続報を待たれたい。

Wizが指摘する点で特に重要なのは、LLMが攻撃のスケーラビリティを根本的に変えたという点だ。従来、あるPHPインストール環境向けに作られたエクスプロイトを別のバージョンや構成に適用するには、相応の技術力と手間が必要だった。しかしLLMはPHPのバージョン、設定、メモリレイアウトの違いを自動的に吸収し、エクスプロイトを調整できる。

「以前は現実的に悪用不可能と見なされていた脆弱性が、実行可能な標的になる」とWizは述べている。

攻撃の障壁が下がるという意味で、これはセキュリティ業界全体に影響する構造的な変化である。過去にもPHPにおける重大なRCE脆弱性は繰り返し発見されてきたが、今回のケースが異なるのは発見者がAIであるという点だけでなく、そのAIが攻撃側にも同様に使われうるという非対称性の問題を同時に提起している点にある。

2ヶ月かけた5段階の修正プロセス

この脆弱性の修正は、2ヶ月間・5つのフェーズにわたる調整プロセスを経て実施された。関与した組織はPHP開発者、Wiz、Cloudflare、そして米国政府機関であるCISA（サイバーセキュリティ・インフラセキュリティ庁）およびホワイトハウスと広範にわたる。

ホワイトハウスの関与については、元記事でも詳細な役割は明示されていないが、CISAを通じた政府レベルの調整・勧告プロセスに組み込まれた形での関与と読み取れる。これは、2021年のLog4Shell対応においてCISAが緊急指令を発出し政府機関への対応を義務付けた事例と同様の、重大脆弱性に対する国家レベルの危機管理対応の文脈に位置する。政府機関が修正プロセスに直接参加したという事実は、この脆弱性の社会的インパクトの大きさを端的に示している。

OpenAIはこのプロセスを、今後のAI主導のセキュリティ発見に向けた再現可能なフレームワークとして提案している。同社は今後数ヶ月でPHP2Shell規模の発見が「急増する」と予測する一方、脆弱性を発見する同じAI能力が攻撃者にも利用可能である点を警告している。

この発見は、AIモデルの攻撃・防御両面のサイバーセキュリティ能力をめぐる数ヶ月来の議論にも直接つながる問題だ。AIによる脆弱性発見の加速という文脈では、GoogleのProject Zerochがオープンソースコードへの自動脆弱性探索を拡大している動向や、MicrosoftのSecurity Copilotによる脅威インテリジェンス活用なども、同じ潮流の中にある。防御者と攻撃者が同じツールを使う時代において、発見の速度と対応の速度の競争は今後さらに激化するだろう。

詳細はOpenAI's GPT-5.6 Sol and Google's Gemini 4 Argon found critical PHP flaw affecting millions of websitesを参照していただきたい。