先日、Webサイトの裏側で使われるプログラミング言語「PHP」に、重大な脆弱性が見つかったというニュースを読んだ。
PHPはWordPressなどでも使われている。今回の問題は、条件がそろうと、外部からサーバー上で不正なコードを実行されるおそれがあるというもの。2026年10月21日には修正版が公開され、各地で対応が進められている。
もちろん怖いニュースなのだけれど、もう一つ気になったことがあった。
その発見に、AIが使われていたことだ。
AIがソフトウェアの「穴」を探す
OpenAIの発表によると、セキュリティ企業CalifはGPT-5.6 Solを使って重大な欠陥を特定した。別のセキュリティ企業Wizも独自に問題を発見している。
興味深いのは、今回の問題の一部については2024年の時点で兆候が把握されていたこと。当時は具体的な攻撃経路が分からず、修正も難しかったという。今回、AIを活用した研究などによって危険性がはっきりし、PHPの開発者たちが修正を進めた。
AIが一瞬で全部を解決した、という話ではない。研究者の調査、開発者の判断、各社の協力があっての対応だ。
それでも、長年使われてきたソフトウェアをAIの力で改めて調べ、深刻な欠陥を見つけ出せるというのは、なかなか大きな変化だと思う。
便利な道具は、攻撃する側にも便利
一方で、これは諸刃の剣でもある。
AIが脆弱性を探せるなら、攻撃者も同じように使える。攻撃方法の検討が速くなる一方、防御側も問題の発見、修正案の検討、対策の検証を速められる。
結局、「AIで危険になるか、安全になるか」ではなく、発見した問題をどちらが先に活用できるか、という話なのかもしれない。
今回の件では、研究者、PHPの開発者、セキュリティ企業が協力し、問題の公開に合わせて修正や防御策を用意していた。危険が増えるだけではなく、守る側にも確かな可能性があることを感じる。
こういう時代なんだな
AIがコードを書き、別のAIがそのコードの欠陥を探し、人間が修正方針を判断する。そんな役割分担が、少しずつ現実になってきた。
個人でWebサイトを運営している身としては、技術の進歩に感心するだけでは済まない。PHPやサーバーをきちんと更新しなければ、見つかった脆弱性はそのままリスクとして残る。
AIによって、今まで見逃されていた問題が次々に見つかるようになるなら、しばらくはこうしたニュースが増えるのだろう。
攻撃も防御も、同じ技術で加速していく。
こういう時代になったんだな、と感じた出来事だった。
コメント