世界のウェブサイトで広く使われているプログラミング言語の「PHP」に重大な欠陥である脆弱性（ぜいじゃくせい）が見つかった。サイバー攻撃を受けるリスクを抑えるため早い段階で修正プログラムが公開され、国内外の関係機関は、被害を未然に防ごうとウェブサイトを一時停止するなど緊急の対応に追われた。
今やインターネットは生活の隅々に浸透している。ネット上のウェブサイトの大半で使われるPHPの脆弱性の問題は、現在のネット社会のもろさを浮き彫りにした。
世界のウェブサイトの69.3％で使用
プログラミング言語は、人間がコンピューターに仕事の手順や処理方法を指示するための「言葉」だ。PHPはその代表的なものの1つで、主にウェブサイトを管理するサーバー上で機能する。脆弱性とは、システムやソフトウェアにある安全上の弱点のことを指す。
PHPは無料で利用でき、また、扱いやすいことから世界中に普及した。多くのウェブサイトで採用されるコンテンツ管理システム「WordPress（ワードプレス）」にも使われており、ウェブサービスを支える重要な技術の1つとなっている。
オーストリアのウェブ調査会社によると、プログラミング言語を特定できた世界のウェブサイトの69.3％でPHPが使用されている。ほかに「Java」などもあるが、占有率がずば抜けて高いPHPに重大な欠陥が見つかると、世界中の多くのウェブサイトやサービスに影響が及ぶ恐れがある。
PHP開発チームなどによると、PHPは1995年にデンマーク出身の技術者ラスマス・ラードフ氏が開発。その後、世界各国の技術者による開発コミュニティーが改良を重ね、現在も共同で開発・保守を続けている。特定の企業が所有・運営するものではなく、無料で利用できるオープンソースのプログラミング言語だ。
2021年には開発を支援する非営利組織「PHP Foundation（PHP財団）」が設立された。財団は企業などから寄付を集め、開発者への報酬支払いや開発体制の強化を支援している。開発方針は基本的に技術者らのコミュニティーが決める仕組みになっている。
日本の政府や企業が対応に追われる
今回の問題についてPHP開発チームは日本時間10月21日未明、PHPに「CVE-2026-109618」「CVE-2026-109619」という2件の重大な脆弱性があることを事前に公表し、同日午後11時に修正プログラムを公開すると予告した。これらの脆弱性は、深刻度を0～10で示す国際的な評価指標で9.2とされ、一定の条件下では外部の攻撃者がサーバー上で不正なプログラムを実行できる恐れがあった。PHP開発チームは予定通り同日夜、脆弱性を修正した更新プログラム（パッチ）を公開し、速やかな更新を呼びかけた。
この事態は瞬く間に世界中に伝わった。日本政府や政府機関の対応は早かった。経済産業省が所管する独立行政法人・情報処理推進機構（IPA）と政府の国家サイバー統括室（NCO）はPHP開発チームの最初の公表を受けて21日、相次いでPHPの重大な脆弱性について注意喚起をし、修正プログラムの公開後に速やかに更新するよう求めた。高市早苗首相もNCOの情報発信を踏まえて、修正の準備をするよう自身のX（旧ツイッター）に投稿した。
政府関係者によると、日付が変わった22日、NCOを率いる飯田陽一内閣サイバー官らが官邸に入って高市首相らと対応などについて協議したほか、国家安全保障会議（NSC）も開かれた。こうした政府の動きは事態の緊急性と深刻さを示すものともいえ、NCOは「（適切に対応しなければ）サイトなどが侵害を受ける危険性がある」と警告した。
木原稔官房長官は22日午前の記者会見で「PHPを使用している事業者などに速やかに修正パッチの適用を推奨しているが、適用が困難な場合はサイトを一時的に停止することもリスクを低減する有効な対策の1つだ。政府関係機関や重要インフラ事業者、中小企業に注意喚起している」と述べ、「引き続き必要な対応に万全を期す」と強調した。気象庁のウェブサイトでは過去の気象データの一部コンテンツが見られなくなるなど、官公庁のウェブサイトでも影響が出た。
民間でも、全日本空輸（ANA）、JR西日本、三菱UFJ銀行など、金融、鉄道・航空、観光、商品販売、IT事業といった幅広い分野の多くの企業が不正アクセスに対する予防的措置として、ウェブサイトの閲覧停止や一部のサービスの取りやめなどの対応に追われた。
欧米も不審な動きがないか警戒
インターネットに国境はない。PHPの脆弱性の影響は世界中に広がった。
欧州委員会とEUのサイバーセキュリティー機関（ENISA）、欧州刑事警察機構は共同で声明を出し、早急な対策を要請した。修正に対応できない場合は、対象となるアプリケーションを公開ネットワークから一時的に遮断することを検討すべきだと警告した。
ロイター通信など海外からの報道によると、欧州ではフィンランドやドイツ、フランス、オランダなどで政府機関や公共サービス、企業などのウェブサイトが予防的に一時停止されたという。
米国では、国家安全保障局（NSA）や連邦捜査局（FBI）が、早い段階で機密データやネットワークが侵害される恐れがあると警告した。プログラムを直ちに更新できない場合はインターネットの接続を遮断するよう求めたほか、予期せずにファイルがダウンロードされるなど、コンピューターに不審な動きがないか監視することも求めた。
米CNNは、重大ニュースとして米国内のほか世界各国の緊急対応を伝えた。英国では多くの公共サービスが利用不能となった。CNNの大々的な報道の中で注目されるのは、オープンAIやグーグル傘下のWiz（ウィズ）などがAIを活用してPHPの脆弱性をいち早く発見したと伝えたことだ。従来は難しかった脆弱性解析や攻撃可能性の検証作業を加速させたと報じた。
欠陥の発見にAIが重要な役割
今回のPHPの重大な脆弱性の発見には、急速に進化する生成AIが重要な役割を果たしている。PHP財団とオープンAIによると、米セキュリティ企業Calif（カリフ）は、オープンAIの高性能AIモデルを活用してPHPを調査し、8月に重大な脆弱性を報告した。また、ウィズも、グーグルやオープンAIなどの複数の高性能AIモデルを使って独自に調査を進め、やはり8月に2件の脆弱性をPHP開発チームに報告している。
ウィズは、今回の脆弱性につながる欠陥が10年以上前からPHPのプログラム内に存在していたと指摘。PHP開発チームも2024年に問題の兆候を把握し、修正方法を検討していた。しかし、技術的な難しさと開発体制の問題から修正が進まず、今年8月にAIを活用した研究で深刻な危険性が実証された経緯がある。
ただ、ここで注目すべき点がある。PHP財団の10月21日付公式声明によると、PHP開発チームは当初22日に脆弱性の詳細と修正プログラムを同時に公表する予定だった。ところが、20日に2つの脆弱性に関する情報の一部がインターネット上に流出した。このためPHP側は予定を1日前倒しし、21日に急きょ修正プログラムを公開した。修正プログラムの提供前に脆弱性の問題が明るみに出て、不安が広がった経緯がある。
オープンAIは、今回、攻撃者より先に高度なAIが脆弱性を発見したことにより、開発者らが修正プログラムを準備する時間を確保できたと強調した。その一方で、同じAIの能力がサイバー攻撃の手法や攻撃プログラムの開発にも悪用される恐れがあるとも警告している。オープンAIは今回のPHPの問題を近年で最も影響が大きいセキュリティ問題の一つと位置付け、「今後の数カ月でAIによる同様の重大な脆弱性の発見が急増する」との見通しを示した。
AI時代の安全確保へ、国際連携が課題
サイバー空間での攻防は、AIの進歩によって新たな段階を迎えている。PHP財団はAIによって脆弱性の発見報告が増えているが、その評価や修正は人間の技術者が判断していると強調している。つまりAIは防御する技術者の強力なツールになっているのだ。
しかし、攻撃する側が新たな攻撃方法の開発にAIを利用する動きがある。PHPのようなプログラミング言語の脆弱性を悪用すれば、攻撃者が外部から不正なプログラムを実行したり、サーバーのメモリー内にある機密情報を読み取ったりする恐れがある。
AIがサイバー攻撃と防御の双方を同時に加速させる新たな局面を迎えている。そうした中で、人間による判断や修正作業と高性能AIの能力をどう組み合わせるかが新たな課題となっている。
国内では最近、企業などを標的としたサイバー攻撃が頻発し、個人情報の流出が相次いでいる。これらの被害と今回のPHPの脆弱性との直接的な関連は現時点では確認されていないが、広く普及した基盤ソフトウエアの重大な弱点が明らかになったことで、サイバー攻撃への備えの重要性が改めて広く認識された。
サイバー攻撃対策は日本だけでなく、世界共通の重要課題でもある。AI開発を巡る国際競争は激化しているが、こうした攻撃による甚大な被害を防ぐためには各国間や企業間の情報交換や技術協力が欠かせない。国際的な連携が強く求められている。
関連リンク