2026年10月21日に発見された深刻なサイバーセキュリティ脆弱性「PHP2Shell」はNASA・Wikipedia・ホワイトハウスといった名だたるウェブサイトに影響を与える可能性があったものの、悪用される前に修正パッチがリリースされたため大規模な被害は回避されました。しかし、PHP2Shellはいわば「炭鉱のカナリア」でありAI時代に起こり得ることへの警告かもしれないと、電気・電子工学系ニュースサイトのIEEE Spectrumは指摘しています。
PHP2Shell Is a Wakeup Call for AI in Cybersecurity - IEEE Spectrum
https://spectrum.ieee.org/ai-in-cybersecurity-php2shell-vulnerability
PHP2Shellの原因となったPHPは元々「Personal Home Page」の略で、1994年に開発されたプログラミング言語です。PHP2Shellの根幹をなすバグは2024年にはPHP Foundationに「メモリ不足エラー」として報告されていたものの、当初はその深刻さが認識されていなかったため未解決のまま放置されていました。しかし、2026年初めにOpenAIの支援を受けたサイバーセキュリティ企業CalifがPHPの独立監査を実施した際、AIツールの助けを借りてこのメモリ不足バグが悪用可能であることが判明しました。
セキュリティ研究者たちはこのバグを利用してホストサーバー上で任意のコードを実行し、マルウェアのインストールや機密データの読み取りが可能であることを突き止めました。実際にPHP2Shellを悪用するには、特定のプログラムのメモリ内の特定の位置にジャンプしシステムを制御するために上書きすべきビットを正確な順序で特定するという、高度で複雑な推論が必要であり、AIによる支援が非常に有効であることが示されました。ただし、AIが単独で脆弱性を発見・悪用できるわけではなく、サイバーセキュリティとPHP言語の両方に深い知識を持つ専門家がAIツールを活用することでAIツールの危険性が飛躍的に高まるものと考えられています。
PHP2Shellの事例はAI時代におけるサイバーセキュリティの新たな課題を浮き彫りにしています。すなわち、長年にわたって蓄積されてきたレガシーソフトウェアの技術的負債がAIによって露呈される可能性があるということです。脆弱性の発見と修正の間には根本的な非対称性があり、修正側は攻撃がすべて閉じられていることを確認した上で既存の機能を壊さないようにする必要があるため、より大きな負担がかかります。特に、明確な収益源を持たないオープンソースプロジェクトを維持するための負担は、AIハッキングツールの登場により喫緊の課題となっています。
脆弱性対応の負担という問題に対処するための方法として、防御側を支援する資金や最先端のサイバーセキュリティAIモデルへのアクセスの提供が挙げられます。また、パッチ適用プロセスを自動化するための形式検証ツールの進歩も期待されています。AnthropicによるLLM生成パッチとその正当性を証明するLLM生成証明の例は進むべき方向性を示唆しているといえます。ただし、LLMはハルシネーションを起こす可能性があるため、最終的な証明のチェックは人間が行う必要があります。
一部の専門家は「本当に深刻な事態が発生するまでは誰もこの問題を解決しようとはしないだろう」と悲観的な見方を示していますが、一つ確かなことは「PHP2Shellのような事例ははほんの始まりに過ぎない」ということであり、大きな被害を出すか無事に収束するかは「誰が最初に脆弱性を見つけるか」にかかっているということです。