概要
OpenAIの研究チームがAIモデルを活用し、広く利用されているプログラミング言語「PHP」から2件の重大な脆弱性を発見した。調査には約8カ月を要したとされる。
脆弱性には「CVE-2026-109618」と「CVE-2026-109619」の識別番号が付与され、総称して「php2shell」と呼ばれている。PHP Foundationは修正パッチを公開し、Webサイト運営者に迅速な対応を求めた。
使われたAIツール
OpenAIのAIモデル
用途：PHPのソースコードを調査し、重大な脆弱性を特定するために使用された。
元記事で説明されているのはAIモデルによる脆弱性発見という活用方法までであり、モデル名、プロンプト、解析手順などの詳細は示されていない。
脆弱性によるリスク
未修正のPHPシステムでは、攻撃者が任意のコードを実行できる可能性がある。侵害したサーバーを内部ネットワークへの足掛かりとし、より深刻な攻撃へつなげられる恐れも指摘されている。
- ソースコードの窃取
- Cookieなど利用者データへの不正アクセス
- 侵害したサーバーを経由した内部ネットワークへの攻撃
パッチ公開前後には、一部の攻撃者が脆弱性を悪用し始めたと報じられた。Cloudflareの最高技術責任者は、初期段階の攻撃がすでに確認されているとの見方を示している。
推奨された対応
PHP Foundationは、修正パッチを直ちに適用するか、対応が完了するまでサイトを停止するよう運営者に勧告した。
また、FBIとNSAは影響を受ける可能性のある組織にシステム更新を促した。フィンランド政府機関は予防措置として一部のWebサイトをオフラインにしたとされ、日本やEUなどの機関も注意を呼びかけた。
AI活用事例としての位置付け
確認できる事実：AIモデルが、広く使われるオープンソースソフトウェアの重大な脆弱性の発見に利用された。
考察：この事例は、AIが防御側のコード監査を支援できる一方、公開後の脆弱性情報が攻撃者にも利用され得るという、サイバーセキュリティ分野の両面性を示す事例と捉えられる。
