PHPの脆弱性が示したAI時代の変化
CloudflareのCEO、マシュー・プリンス氏は、AIツールによる重大なソフトウェア脆弱性の発見が今後数年続くとの見通しを示しました。PHPの中核部分に見つかった脆弱性では、修正を急ぐウェブサイトが相次ぎ、AIが発見だけでなく悪用の準備も速める可能性が焦点になっています。
PHPはウェブサイトの構築に使われるプログラミング言語で、WordPressやDrupal、WikipediaのMediaWikiなどが動作する基盤の一つです。Wiz Researchは、PHP本体の脆弱性を利用し、認証されていない状態からWordPress、Drupal、Joomla上でコードを実行できることを実証しました。
Wiz Researchが報告した問題は、PHPの複数バージョンに影響するメモリ安全性の不具合で、2件の脆弱性識別番号にまとめられています。PHPは2026年10月21日に修正を公開し、Wiz Researchは修正によって関連する問題も解消されると説明しました。
複雑な不具合を実証するまでの工程
Wiz Researchが扱った不具合は、PHPが致命的なエラーを処理する際に内部状態を不整合にし、その状態が後続のリクエストで再利用されることに関係します。影響には、プロセスのメモリ情報の読み取りや、サーバー上でのコード実行が含まれます。
同チームは複数の不具合を組み合わせ、実行環境ごとのメモリ配置に合わせて検証を重ねました。Wiz Researchによると、AIモデルを使って複数のアプリケーション向けの実行手順を調整し、従来なら専門家が長時間かけて行う作業を数時間で進められました。
プリンス氏は、同社がPHP以外の重要なソフトウェアにも深刻な脆弱性を把握していると述べましたが、対象のプログラム名は明らかにしていません。また、発見が続く間は毎週のように大きな問題が起きると感じる期間が数年続くとの見方を示しました。
複数のエージェントで発見と検証を分担
Googleなどの研究者が提案したCo-RedTeamは、LLMエージェントを使って脆弱性の発見と悪用可能性の検証を段階的に進める枠組みです。まず分析役と批評役がコード閲覧ツールやセキュリティ文書を使い、根拠のある候補を探して確かめます。
候補が見つかると、計画、検証、実行、評価を担うエージェントが、隔離された実行環境で試行を重ねます。実行結果を受けて手順を修正し、脆弱性を再現できるか評価する流れです。
この枠組みは、脆弱性のパターンや攻撃手順を長期記憶に保存し、別の課題で再利用する設計です。研究チームは複数のセキュリティ評価用ベンチマークで性能を測り、悪用成功率が60％を超え、脆弱性検出も比較対象より10ポイント以上改善したと報告しました。
発見の増加と修正をめぐる課題
電子フロンティア財団（EFF）は、記録されているソフトウェア脆弱性の3％が2026年10月だけで見つかり、既知の脆弱性のほぼ4分の1が同年に発見されたとしています。EFFは、最先端のAIモデルが未知の脆弱性を見つける費用を下げたと述べています。
EFFによると、10月後半の2週間にはインターネットの広い範囲に影響し得る複数の脆弱性が報告・修正され、その多くはオープンソースソフトウェアにありました。同団体は、攻撃や情報漏えい、サービス停止が増える可能性を指摘しています。
EFFは、利用者にブラウザーやアプリを更新し、サイトごとに異なるパスワードを使うことなどを勧めています。ブログやウェブサイトを運営する場合は、PHPの修正が適用されているか、運営者またはホスティング事業者が確認するよう呼びかけました。
