PHP2Shellが露呈させた、AI時代の脆弱性発見と修正の非対称性

PHP2Shellとは何か

2026年10月下旬、PHP2Shellと呼ばれる脆弱性が明らかになった。WordPressやDrupalの上で動く多数のサイトが、ホストサーバー上で機密データを読み出したり、任意のコードを実行されたりする危険にさらされたとされる。記事では影響し得るサイトとしてNASA、Wikipedia、ホワイトハウスの名も挙げられている。

発見したのはセキュリティ研究者で、PHP Foundationに報告され、悪意ある攻撃者の手に渡る前に修正プログラムが公開された。現時点で実害は確認されていない。

ただし記事は、これを「炭鉱のカナリア」と位置づける。人間が40年かけて書いてきたレガシーソフトウェアの脆弱性が、AIによって次々と表面化する時代に入ったという見方だ。

発端は2024年のクラッシュ

問題のバグは2024年にはPHP Foundationに報告されていた。内容はout-of-memoryエラー、つまりあるデータに割り当てられたメモリが小さすぎて収まらないというものだ。通常はプログラムが落ちるだけで危険とは見なされず、放置されていた。

転機は2026年に入ってから訪れる。セキュリティ企業CalifがOpenAIのスポンサーを受けてPHPの独立監査を申し出て、AIツールの助けを得た研究者が2週間以内に、このバグを使ってサーバー上で任意のコードを実行する方法を発見した。修正が急がれる重大な脆弱性へと格上げされた格好だ。

コロンビア大学のSuman Jana准教授は、悪用にはメモリの特定箇所を狙ってビットを順番に書き換える地道な推論が必要だと説明する。ロケット科学ではないが、人間には苦痛な作業であり、AIはそこを得意としているという。

発見と修正の非対称性

脆弱性が判明した後、4人のエンジニアが2か月かけて修正プログラムを開発した。Jana氏は「バグの発見と修正には根本的な非対称性がある」と指摘する。修正では攻撃経路をすべて塞いだうえで、既存の機能を壊していないことを確認しなければならないからだ。

この負担は、明確な収益源を持たないオープンソースプロジェクトほど重い。AIによる攻撃ツールの高度化によって、長年指摘されてきた問題がより差し迫ったものになっている。

対策として、最先端AIを手がける企業がトークン予算の一部を脆弱性調査に提供する動きがある。Jana氏はこうした取り組みがもっと広がるべきだと話している。

形式検証と悲観論

修正側を自動化する動きとして、形式検証ツールの進展がある。Anthropicは10月22日に新たなリリースを行った。Jana氏によれば、パッチをLLMが生成し、そのパッチが正しいことの証明もLLMが生成する仕組みで、証明を検査する部分だけはLLMに任せられない。LLMは誤った内容をもっともらしく出力することがあるためだ。

一方、ジョンズ・ホプキンス大学のMatthew Green准教授は悲観的だ。「本当に悪いことが起きるまで誰も直さない」と述べ、PHP2Shellはその閾値には達していないと見る。時期は2027年初頭ごろになるかもしれないという。

同氏の実務的な助言は単純で、セキュリティアップデートが出たら翌週まで待たずに適用することだ。Jana氏も、PHP2Shellは最後の事例ではないと述べている。