OSへ侵入される可能性のある深刻な脆弱性
PHPは、20年以上にわたってインターネット上で広く使われてきたプログラミング言語です。今回の騒動の背景には、このPHPに深刻な脆弱性が見つかったことでした。
そもそも脆弱性とは、ソフトウェアのバグのうち、悪用されることでセキュリティー上の問題を引き起こすものを指します。しかし、ソフトウェアは、長年使われていてもバグが完全になくなるわけではありません。例えば、Windowsが毎月アップデートを行っているのも、バグを修正するためです。ソフトウェアは巨大であるうえ、新しい機能を追加すれば、それに伴って新たなバグが生じることもあるのです。
それはPHPも例外ではありません。PHPは、プログラミング言語であると同時に、その言語で書かれたプログラムを動かすための実行環境でもあります。そのためPHPを使うことで、さまざまな機能を備えたウェブサイトを構築できます。例えば、ウェブサイトを簡単に作成できるコンテンツ管理システムのWordPressや、大学の授業などで使われる学習管理システムのMoodle、サイボウズなどの企業向けグループウェアなど、PHPで開発されたシステムは数多く存在します。
今回見つかった脆弱性が深刻なのは、PHPの内部にとどまらず、その基盤であるOS（基本ソフト）にまで侵入される可能性があることです。
通常、ウェブサイトを運営するシステムでは、OSの上でPHPが動き、その上でWordPressなどのプログラムが動作しています。例えば、WordPressに脆弱性があれば、ウェブサイトを不正に操作される可能性はありますが、個人情報が漏れることはあまりないでしょう。
しかし、PHPの脆弱性を突かれ、OSへの侵入を許すと、サーバーそのものを乗っ取られる可能性があるのです。そうなれば、PHPのプログラムを書き換えたり削除したりできるほか、その上で動いているシステムを破壊したり、不正なファイルを置いたりして情報を抜き取ることも可能になります。さらに、サーバー内に個人情報などが保存されていれば、それらが外部に流出する危険もあるのです。
AI活用で発見される脆弱性が大幅に増えた
PHPにこのような深刻な脆弱性が見つかることは、長い間ありませんでした。なぜでしょうか。それは、今回発見された脆弱性が非常に緻密かつ複雑で、人間には発見が難しいものだったからです。その困難を乗り越え、脆弱性を見つけたのは人間ではなく、AIでした。
2026年4月ごろ、米AI企業のAnthropicが、AIによる脆弱性の発見能力の高さを示しました。同社は「プロジェクト・グラスウィング」を始め、限られた企業・団体にAIを提供し、ソフトウェアの脆弱性を調査する取り組みを進めたのです。その結果、2026年6月以降は、Windowsのアップデートで修正される脆弱性の数が大幅に増えはじめました。PHPは当初は、プロジェクトの対象に含まれていませんでしたが、その後に本格的にAIを用いた検査をした結果、今回の件が発覚したのです。
ただ、AIを使えば、すべてのバグが簡単に見つかるわけではありません。AIへの指示の出し方はもちろん、エンジニアがAIと相談しながら調査を進める方法なども重要になります。
注意しなければならないのは、AIによって脆弱性を発見できるようになったということは、防御する側にとってだけでなく、攻撃する側にとっても大きな意味を持つことです。つまり、攻撃者が先に脆弱性を見つけ、悪用する可能性も上昇したのです。今後はPHPに限らず、PythonやJavaScriptなど、さまざまなプログラミング言語やソフトウェアで同じような問題が起こる可能性があります。
なかでも特に怖いのはOSの脆弱性です。LinuxやWindowsなど世界中のあらゆるサイトの基盤になっているOSに深刻なバグが潜んでいれば、システム全体を乗っ取られ、情報流出からシステム破壊まで様々な問題が起こりかねません。
攻撃側にとって資金を投入し脆弱性を調べることは「投資」に
今回の問題を考えるうえで、もう一つ重要なことがあります。それがオープンソースソフトウェアの仕組みです。
