PHP脆弱性で世界のサイトが予防停止。オープンソースの構造とAI時代のセキュリティ

今回のテーマは、ウェブサービスの土台として広く使われるPHPに重大な脆弱性が見つかった騒動です。CEOセオさんによると、各国のトップが警戒を呼びかけ、日本でも高市首相がXで「すぐに対策を」と発信しました。

10月21日の夜、高市首相はXで「大至急お願い」と投稿し、ウェブサイトのプログラムを今夜直すこと、直せないならサイトを落とすことを求めました。その結果、静岡銀行のアプリ、すき家のネット注文、自治体のサイトなどが次々と停止しました。

セオさんが異例だと感じているのは、被害が出てから止めたのではなく、壊されるリスクを避けるために各社が足並みを揃えて止めた点です。セオさんは、それほどAIが新しい可能性と同時に、想像していなかった脅威も生み出していると話しています。

また、対応に追われて徹夜しているエンジニアが多いことにも触れ、基幹を支える人たちがいるからこそ快適にウェブサービスを使えると労いの言葉を送っています。

セオさんはPHPを飲食店の厨房に例えます。PHPはプログラミング言語で、お客さんからは見えないものの、壊れると出てくる料理、つまりサービスに欠陥が出てしまう重要な場所です。

今回の脆弱性は深刻度が10点満点中9.2点とされ、セオさんは「飲食店でいうとガス漏れしているようなもの」と表現しています。しかも過去10年間のほぼ全般のバージョンが対象で、ずっと放置されていたといいます。

この脆弱性を見つけたのはAIツールでした。Googleの親会社Alphabet傘下のセキュリティ会社Withが、自社のAIツールに加えてGeminiやOpenAIのGPTのモデルも使い、OpenAIと協力しながら発見したとされています。

発見から一斉停止までの流れは、次のように整理できます。

セオさんの例えでは、情報流出は「あの店のコンロはガス漏れするらしい」と周囲に知れ渡ったような状態です。遠隔で爆破できる悪意ある人に狙われる前に、修正パッチを入れるか、サポート外の古いコンロなら使うのをやめるしかありませんでした。

事態が深刻になった理由は、PHPの利用範囲の広さです。セオさんは、ECサイトや政府のサイトを含む世界の7割ほどのウェブサイトで使われており、「世界の7割の飲食店が同じコンロを使っていたようなもの」だと説明します。

悪用されれば、サイトの書き換えやフィッシング詐欺などに使われるおそれがあります。そのためアメリカではCISACISA ── 米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁。重要インフラのサイバー防御や脆弱性情報の発信を担う機関ですやNSAが、更新できなければシステムを止めるよう勧告しました。

欧州やオランダでも当局主導の予防停止が進み、政府ポータルや病院サイトも止まったといいます。日本では国家サイバー統括室が注意喚起を行い、静岡銀行のネットバンキングの予防停止や、三菱UFJ銀行の一部機能停止にまで至りました。

セオさんは今回の騒動を、危険が起こりうることを多くの人が知るきっかけになったと捉えています。脆弱性を隠してパッチを当ててから報告するのではなく、止めてでも対策する習慣が大切だと話します。

セオさんは、日本のサービスへの要求度の高さにも触れます。海外では電車が数分遅れても問題にならない一方、日本はきっちりしていて、それが良さでもあるものの、止めた途端にユーザーが強く文句を言う空気は、停止してでもしっかり対策をとる判断の妨げになりかねないといいます。

公的機関は悪用をまだ確認していない一方、CNBCはハッカーによる悪用の報告があったと報じており、実態はまだはっきりしません。セキュリティに詳しい人がいない会社や個人運営のサイトでは放置される懸念もあり、サーバー会社の対応の速さも鍵になります。

さらにNodeやJavaでも問題が見つかっており、OpenAIは今後数か月以上、こうした発見が相次ぐと見ているといいます。セオさんは、警戒態勢を緩めてはいけない段階だと強調しています。

セオさんが根本的な問題として挙げるのは、PHPが寄付で成り立つオープンソースオープンソース ── ソースコードを公開し、誰でも無料で利用・改変できるようにしたソフトウェア。開発は有志や財団、企業の協力で支えられることが多いですだという点です。開発者がボランティア的に作り込み、みんなが無料で使うことで発展してきました。

セオさんによると、PHP財団の2025年の寄付総額は1億円程度で、契約している開発者は11人ほどです。その規模で世界中が使う土台を支えている以上、穴があるのはある意味前提として考えるべきだったのかもしれないと話します。

一方で、土台を守る側のセキュリティ会社には巨額のお金が流れます。セオさんは、今回の発見に関わったセキュリティ会社が2026年3月にGoogleに5兆円で買収され、Google史上最大の買収と言われていることを例に挙げます。

PHPを取り巻く三者の立場は、次のように整理できます。

発見側の自己申告では、従来は世界のトップチームが数か月かかる作業を、一人の研究者が1週間で見つけたといいます。ただし、AIは見つけるのは速くても、すぐに修復までしてくれる状況ではありません。セオさんは、今後AIを使った攻撃が増えれば、オープンソースのエコシステムそのものが崩れる可能性があると指摘します。

セオさんが最も厳しい立場に置かれると見ているのは中小零細企業です。大企業は仕組みを変えられても、中小零細企業ほどオープンソースに依存しており、トラブルを抱えると仕事が取れなくなり、コスト増も補えない可能性があるといいます。

最後にセオさんは、2020年のダイヤモンド・プリンセス号の集団感染を振り返ります。当時は自分たちのところには来ないと思い、過剰な報道かとも感じていましたが、今の雰囲気がそれに似ていると不安を語ります。

リアルのパンデミックでは人が会えなくなりましたが、デジタル上でパンデミックが起きれば、サイト停止やネットが使えない状況になるかもしれません。セオさんは、そうなった時の生き方を考えつつ、慌てず安全性を重視し、冷静でいることが重要だと締めくくっています。

まとめ

今回の騒動は、AIによる脆弱性発見と情報流出が重なり、世界の7割のサイトを支えるPHPで一斉の予防停止が起きた異例の事態でした。CEOセオさんは、寄付頼みのオープンソースという土台の構造的な弱さと、止めてでも守る判断を受け入れる社会の必要性を指摘しています。

• PHPの深刻度9.2の脆弱性が10年間放置され、AIツールによって発見された
• 情報流出を受けて各国政府が更新か停止を勧告し、日本でも銀行や飲食チェーンのサービスが予防停止した
• PHP財団の寄付は年1億円程度、開発者は11人ほどで、土台を作る側にお金が回らない構造がある
• AIによる攻撃が増えればオープンソースのエコシステムが崩れ、中小零細企業が最も打撃を受けるおそれがある
• サービス停止を「仕方ない」と受け止め、冷静に安全性を優先する姿勢が求められている