AIが見つけたネット社会のほころび

～PHPの脆弱性は、なぜ世界に影響を広げたのか？～

いつものホームページが開かない。利用したいサービスが突然メンテナンスに入る――。2026年10月、ウェブサイトを支える「PHP」という技術に重大な弱点が公表され、各地で緊急対応が進んでいます。日本のIPAやJPCERT/CCも、速やかな対策を呼びかけています。今回、注目されているのは、AIが弱点の発見や危険性の解明を助けたことです。私たちの暮らしと、どのようにつながっているのでしょうか。

PHPは、ウェブサイトを支える重要なシステム・プログラムです

PHPは、ウェブサイトの裏側で働くプログラミング言語です。画面に情報を表示したり、利用者の入力を処理したり、データベースから必要な情報を取り出したりします。ブログなどで使われるWordPressも、PHPを土台にしています。建物にたとえると、画面のデザインが外観や内装で、PHPは設備を動かす仕組みに当たります。別々の建物でも、共通する設備に欠陥が見つかれば、一斉に点検や修理が必要になります。今回の影響が広がった理由も、ここにあります。

PHPのシステムプログラムは何が危険なのか？

今回の問題は、二つの脆弱性をまとめて「PHP2Shell」と呼んでいます。「脆弱性」とは、不正な侵入や操作につながる、ソフトウェアの弱点のことです。PHPの内部では、作業用の記憶領域である「メモリ」を使っています。今回、そのメモリが不足した際の処理や、処理を終えた情報の扱いに問題が見つかりました。悪用されると、外部の第三者がサーバー上で不正な命令を実行したり、機密情報を読み取ったりするおそれがあります。ウェブサイト側のプログラムを丁寧に作っていても、土台であるPHPの弱点が影響する場合があります。

AIは、何を発見したのか？

AIを活用した研究チームは、複雑なプログラムを調べ、複数の不具合を組み合わせた場合に、実際にどのような危険が生じるのかを検証しました。人間だけでは多くの時間と専門知識を必要とする分析や試行錯誤を、AIが助けたのです。ただし、すべてが今回初めて分かったわけではありません。PHP財団によると、問題の一つにつながる兆候は2024年に把握されていました。しかし、具体的な攻撃方法が明確でなかったことや、修正による既存システムへの影響、人員不足などから、対応が難航していました。2026年に研究者らが実際の危険性を示し、修正が最優先となりました。AIは、以前から潜んでいた弱点について、「本当に悪用され得る」という現実を浮き彫りにしたのです。サービスの停止は、必ずしも攻撃を受けた証拠ではありません。情報を盗まれるなどの被害を防ぐために、運営者が予防的に止める場合もあります。

英国の国家サイバーセキュリティセンターは、更新や暫定的な対策を速やかに実施できない場合、安全を確保できるまでシステムの停止を検討するよう勧めています。実際に英国の医療関係機関も、修正のため一部のウェブサイトが停止したと案内しています。

日本でも、ソフトバンクは10月23日、PHPの脆弱性への対応に伴い、緊急速報メールの配信停止を公表しました。ウェブの裏側にある技術の問題が、防災情報の提供にも関わることを示す事例です。

修正プログラムがあっても、作業は簡単ではない。

修正版は10月21日に公開されました。ただし、運営者は更新するだけでなく、既存のサービスが正常に動くかを確認し、不正侵入の形跡も調べる必要があります。JPCERT/CCは、十分なテストを行ったうえでの更新と、侵害の有無の調査を呼びかけています。こうした作業には、技術者の時間と費用がかかります。停止中は予約や注文ができず、問い合わせが増えることも考えられます。情報流出が起きなくても、予防と復旧の負担が社会全体に広がるのです。AI時代には、守る仕組みも育てる必要があります。AIは、弱点を早く見つけ、修正を助ける力になります。一方で、その分析能力は攻撃する側にも利用され得ます。これまで悪用が難しいと考えられていた問題も、見直しを迫られる時代になりました。

今回の出来事から考えたいのは、便利な技術を使う社会が、その保守を担う人々を十分に支えているかという点です。PHP財団は、多くのサービスを支えるPHPの安全対策が、少人数の専門家と限られた資金に依存していると訴えています。日常の更新、緊急時の連絡体制、代替手段の準備、そして技術者への継続的な支援。目立ちにくいこうした備えが、私たちの便利な暮らしを支えています。AIの進歩に合わせて、社会の守り方も育てていく必要があるのです。

※本稿は2026年10月24日時点で確認できる公表情報に基づいています。個別サービスの停止・再開状況は、各運営者の最新案内をご確認ください。

柳山