2026年10月21日、世界中のウェブサイトで使われているプログラミング言語「PHP」に、重大なセキュリティ上の欠陥があることが公表されました。 今回見つかったのは、悪意のある第三者がパスワードを知らなくても、外部からサーバー上で不正なプログラムを実行できる可能性があるという深刻な問題です。
実は、この欠陥が発見されたのは10月ではありません。 8月の段階でセキュリティの専門家から報告され、約2か月にわたって修正作業が進められていました。 そして今回、修正版が公開されたことで大きなニュースになったのです。
さらに注目したいのは、欠陥の発見にAIが活用されていたことです。
PHPとはどのような技術なのか。 誰が問題を発見し、誰が修正したのか。 今回のニュースを分かりやすく解説します。
PHPとは？ 特定の会社が所有する言語ではない
PHPは、ウェブサイトの裏側で動くプログラムを作るための言語です。 例えば、ブログの記事を表示したり、会員情報を管理したり、問い合わせフォームの内容を処理したりするときに使われています。 世界中で利用されているWordPressも、PHPで開発されています。
ここで知っておきたいのが、PHPは特定の会社が独占して開発している言語ではないということです。
例えば、C#はMicrosoftが中心となって開発しています。 一方、PHPは「オープンソース」と呼ばれる仕組みで開発されています。 オープンソースとは、プログラムの設計図にあたるソースコードが公開され、多くの開発者が協力して改良できる仕組みです。 PHPも世界中の開発者によって維持・管理されています。
また、その活動を資金面などで支援しているのが、非営利組織の「PHP Foundation（PHP財団）」です。
つまり、PHPは特定企業の商品というより、世界中の開発者が協力して支えている技術なのです。
今回、PHPの何が危険だったのか？
今回発見されたのは、PHPのプログラムを実行する仕組みそのものに存在する、2件の重大な欠陥です。 このようなセキュリティ上の弱点を「脆弱性（ぜいじゃくせい）」と呼びます。
問題があったのは、プログラムが使用するメモリの管理や、処理中にエラーが発生した場合の動作などです。 攻撃者が特定の条件を作り出すことで、本来は実行できないはずの不正な命令を、サーバーに実行させる危険性があります。
例えば、住宅の防犯設備を想像してください。 特定の家の鍵が壊れていたのではなく、多くの住宅で共通して使われている鍵の仕組みに欠陥があったようなものです。 PHPは数多くのウェブサイトで利用されているため、共通部分に問題があると、その影響が広範囲に及ぶ可能性があります。
ただし、PHPを利用しているすべてのウェブサイトが攻撃を受けたという意味ではありません。 危険な状態にあるシステムでは、実際に攻撃を受ける前に対策することが重要です。
AIを活用した安全点検で重大な欠陥を発見
では、この問題は誰が、どのように発見したのでしょうか。 今回の大きな特徴は、AIを活用したセキュリティ調査が重要な役割を果たしたことです。
OpenAIは「Patch the Planet」という、AIを活用してソフトウェアの弱点を発見し、修正につなげる取り組みを進めています。 この活動に参加したセキュリティ企業「Calif（カリフ）」が、AIを使ったPHPの調査で重大な問題を発見しました。
さらに、Google傘下のセキュリティ企業「Wiz（ウィズ）」も、AIを活用した独自の調査によって問題を発見・報告しています。
AIは大量のプログラムを分析し、人間が見落としやすい不自然な処理や、危険につながる可能性のある部分を探すことができます。 ただし、AIが発見した内容が本当に危険なのかを検証したり、安全な修正方法を考えたりするには、人間の専門家の判断も必要です。 今回も、AIだけですべてを解決したわけではありません。 AIの分析能力と人間の専門知識を組み合わせた調査が、重大な欠陥の発見につながったのです。
8月に報告、10月21日に修正版を公開
今回のニュースを理解するうえで、発見から公表までの流れも重要です。
2026年7月30日、CalifはPHPのセキュリティ調査を開始しました。
そして8月11日、重大な問題をPHPの開発側に報告しました。
同じ8月にはWizも独立した調査によって問題を報告しています。
その後、PHPの開発チームが中心となり、関係企業と協力して修正作業を進めました。
10月20日には重大な脆弱性に関する緊急の事前告知が行われ、翌21日に修正版が公開されました。
つまり、今回のニュースは「10月21日に初めて弱点が発見された」という話ではありません。 8月に報告されていた問題の修正が進み、10月21日に正式な修正版が公開されたというニュースなのです。
修正は？ もう安全になったの？
今回の修正を中心となって進めたのは、PHPの開発チームです。 CalifやWizなどの外部企業が問題を発見・報告し、OpenAIなども調査や対応を支援しました。
そして10月21日、次の修正版が公開されています。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
では、これで問題は解決したのでしょうか。
ここは注意が必要です。 修正版が公開されたことと、世界中のウェブサイトが安全になったことは別だからです。 例えば、Windowsに欠陥が見つかり、Microsoftが更新プログラムを公開したとします。 しかし、利用者が更新しなければ、古い問題は残ったままです。
PHPも同じです。 ウェブサイトの管理者は、使用しているPHPのバージョンを確認し、安全なものに更新する必要があります。 また、古いPHP 8.1以前については、今回の公式修正版は提供されていません。 こうした環境では、サポートされている新しいバージョンへの移行が必要です。
AI時代のセキュリティはどう変わる？
これまでのサイバーセキュリティ関連ニュースでは、企業への不正侵入や個人情報の流出などが大きく取り上げられてきました。
しかし、今回は少し違います。 多くのウェブサイトを支える共通の技術に重大な欠陥が見つかり、世界中で修正対応が必要になったのです。 さらに、その発見にはAIが大きく貢献しました。
AIを活用すれば、人間だけでは発見が難しかった弱点を、より効率よく見つけられる可能性があります。 一方で、攻撃者もAIを使って弱点を探したり、攻撃方法を考えたりできるようになります。 つまり、AIはセキュリティを守る側だけでなく、攻撃する側にも利用される可能性があるのです。
「AIによって防御する側の能力が高まる一方、攻撃する側の能力も高まる」
今回のPHPのニュースは、AI時代のサイバーセキュリティが大きな転換点を迎えていることを示す出来事といえるでしょう。
コメント