PHPに深刻な脆弱性2件、AIが発見 NSAが未修正サイトの公開停止を勧告

何が起きたのか

米国家安全保障局（NSA）は水曜日、PHPに2件の重大な脆弱性が見つかったとする警告を出した。修正パッチはPHP Foundationがすでに発行している。PHPはWebアプリケーション向けのサーバーサイドプログラミング言語で、インターネット上のWebサイトのおよそ70%、一部の集計では3300万サイト以上を動かすとされる。WordPressなどの主要なコンテンツ管理システム（CMS）でも使われている。

NSAは、これらの穴が深刻であるとして、ただちにパッチを適用できないWebサイトは、適用できるようになるまでWebから外すべきだとしている。穴を突かれると、攻撃者はサーバーのファイルシステムや、Webアプリが利用するデータベースに侵入できるとされる。

20年以上潜伏していた穴

これらの穴は、2004年に公開されたPHP 5以降のすべてのバージョンに存在していたとされる。PHP 8.1以前はすでにサポートが終了しているため、古いバージョンで運用しているWebサイトは更新作業が必要になる。記事では、現行バージョンであるPHP 8.5.12への更新が推奨されている。

これほど広く使われ、長く存在していた不具合がなぜ今になって明らかになったのか。記事はその理由をAIに求めている。Wizは、AI以前はこれらの穴を悪用すること自体が難しかったと説明しており、発見と悪用の両方の敷居がAIで下がったという構図になっている。

発見の主役はAI

OpenAIはブログで、セキュリティテスト会社CalifがOpenAIの「Patch the Planet」イニシアチブの一環としてGPT‑5.6 Solを使い、脆弱性の1件を発見したと明らかにした。別にWizのチームも、同社のセキュリティAIエージェント「Wiz Atlas」とGemini 4 Argon、GPT-5.6 Solを使い、PHPの複数の脆弱性を発見したとされる。

両社は責任ある開示の慣行に従い、公開前にPHP側と協力してパッチを作成した。発見内容の整理とパッチの検証には、他の関係者も加わって共同で作業したという。WizはAutomattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercelに謝意を示している。

現時点の注意点

OpenAIは、これらの脆弱性はハッカーが発見する前に研究者が先に見つけたと説明しており、現時点で実際の悪用報告はないとしている。ただし開示された以上、攻撃者は内容を知ることになる。記事は、未修正のサイトが狙われる前に、数千万規模のサイトが修正を終えられるかという競争が始まっていると位置づけている。

Wizは、AIによって攻撃の敷居が下がったと警告している。LLMは、エクスプロイトを異なるPHPのバージョンや設定、メモリレイアウトに合わせて調整するのに役立つという。WordPressは、この問題はWordPress固有のものではないとする声明を出しており、運営者はサーバーへのパッチ適用と、ホスティング事業者との連携を求められている。