10月24日、Digital Trendsが「AI helped uncover a hidden PHP flaw. Now websites worldwide are facing millions of hacking attempts.」と題した記事を公開した。この記事では、AIがPHPの重大な脆弱性「PHP2Shell」の発見を加速し、世界中のウェブサイトが数百万件規模の攻撃にさらされている事態について詳しく報告している。
AIが10年以上埋もれていた脆弱性を掘り起こした
PHPは世界のウェブサイトの約70%を支える言語だ。WordPress、Wikipedia、Slack、Drupalといった主要サービスがPHPで動いている。その根幹を揺るがす脆弱性「PHP2Shell」が、AIを活用したセキュリティ調査によって今年8月1日に発見された。
発見したのはサイバーセキュリティ企業のCalifで、大規模言語モデル（LLM）の支援を受けて特定した。クラウドセキュリティ企業のWizも独自のAIツールに加え、元記事によればGoogle Gemini 4 ArgonとOpenAI GPT-5.6 Solを用いて同じ脆弱性を独立して発見している。
Wizのブログによると、この脆弱性は10年以上にわたってコードに潜伏しており、悪用するには極めて複雑な手順を踏む必要があったため、人間の攻撃者には事実上見つけにくいものだった。AIはその「複雑さの壁」を一気に下げた。なお、本脆弱性「PHP2Shell」については、執筆時点で公式CVE番号やNVDへの登録は確認中であり、詳細が確定次第追記する予定だ。NSAの公式アドバイザリも合わせて参照されたい。
AIによる脆弱性発見の背景
セキュリティ研究の現場では、LLMを活用したコード解析が急速に普及している。従来、長大なコードベースを人手でレビューする場合、担当者のスキルと工数に成果が大きく左右された。今回のCalifやWizの事例が示すのは、LLMが「複雑すぎて人間には追いきれない」コードパスを短時間でトレースし、潜在的な危険箇所を絞り込める段階に達しているという事実だ。
一方で、攻撃者側も同じツールを使える。PHP2Shellが10年以上発見されなかった背景には、悪用手順の複雑さがあったが、LLMがその複雑さを「乗り越えられる」なら、防御側の発見と攻撃側の実装がほぼ同時に起きるリスクが高まる。今回の45分という数字はその現実を端的に示している。
公開から一夜にして「数百万件」の攻撃へ
問題の深刻さは攻撃の速度が如実に示している。CloudflareのCEO Matthew Princeによると、脆弱性が公表されてから45分以内に数万件の悪用試行が始まり、翌朝には数百万件に膨れ上がった。
NSAは公式アドバイザリで、攻撃者がサーバーを乗っ取り、機密データを窃取し、ネットワーク内部に深く侵入できると警告した。PHP Foundationは水曜日にセキュリティパッチを公開しており、当局は即時適用、もしくは対象システムの一時停止を強く促している。
世界各国のサービスが次々とオフライン化
被害と予防措置は複数の国に広がっている。
- 英国：政府機関が予防措置として32のサービスをオフライン化。国家サイバーセキュリティセンター（NCSC）は影響を受ける組織5万件にアラートを送付。元NCSC長官のCiaran Martin氏は「過去5年で最も深刻な脆弱性」と表現した。
- Wikipedia、Internet Archive、4Chanも一時ダウン。
- オランダ、ドイツ、ケニア、フランスの政府サイトも影響を受けた。
- 日本では、元記事によれば高市早苗首相がパッチ適用またはシャットダウンを企業に呼びかけたと報告されている。
- 韓国は緊急対応措置を発動した。
NCSCは、一部の旧式システムはパッチ自体が適用できないため、機器の交換が必要になるケースもあると指摘している。セキュリティチームを持たない学校、NPO、地方自治体が最もリスクにさらされているという。
PHPコミュニティの反応
PHP Foundationがパッチを公開した後、開発者コミュニティの間では対応の速さと情報共有の質について議論が起きている。元記事では、一部のホスティング事業者が自動的にパッチを適用する措置を取った一方、古いバージョンのPHPをサポート外のまま運用し続けているサイトが依然として多数存在することへの懸念が示されている。PHP公式サポートポリシーによると、EOL（サポート終了）バージョンにはセキュリティ修正が提供されない。PHPのバージョン管理を怠ってきた事業者にとって、今回の事態は運用方針を見直す契機となるだろう。
また、OSSコミュニティでは「AIによる自動脆弱性スキャンをCIパイプラインに組み込むべきか」という議論も活発化しており、今後の標準的なセキュリティプラクティスに影響を与える可能性がある。
「AIによる脆弱性発見」は両刃の剣
今回の件が示す構図は単純だ。AIは防御側の調査を加速したが、同時に攻撃のハードルも下げた。10年以上誰も気づかなかった複雑な脆弱性が、AIの登場によって短時間で実用的な攻撃手法になりうる——そのサイクルが現実のものになった事例である。
PHPサイトを運用しているなら、パッチの即時適用と不正アクセスの痕跡確認が急務だ。
詳細はAI helped uncover a hidden PHP flaw. Now websites worldwide are facing millions of hacking attempts.を参照していただきたい。
