AIが発見したPHP脆弱性、世界のオンラインサービスに非常事態

ウェブサイトの70%がPHP使用、各国政府・企業が対応へ

オープンAIの「GPT-5.6 Sol」が発見

開発陣は更新版を公開したが

既存の脆弱性をハッカーが悪用する可能性

韓国は旧版の使用比率が90%近くに達する

政府、サイバー危機「注意」を発令

世界のウェブサイトの約70%で使われるプログラミング言語「PHP」で脆弱性が見つかり、各国の政府機関や企業のセキュリティー対応が急務となっている。この欠陥は、米セキュリティー企業カリフ（Calif）がオープンAIの先端人工知能（AI）モデル「GPT-5.6 Sol」を使って発見した。開発陣は急ぎセキュリティー更新版を公開したが、脆弱性を狙うハッカーの標的になりかねないとの懸念が強い。各国政府はオンラインの公的サービスを停止するなど、対策に乗り出した。

「公開後の攻撃試行は数百万件」

10月22日、PHP財団などによると、PHP開発陣は前日の10月21日、外部からサーバーに悪意あるコードを埋め込める2件の脆弱性「PHP2Shell」に対処したセキュリティー更新を発表した。8月にこの欠陥を見つけたカリフの研究チームから報告を受け、2カ月あまりの検証を経て解決策を示した。

PHPは金融機関やネット通販、企業サイトなどさまざまなウェブサイトと、その背後にあるサーバーの間で処理を担い、決済や注文などを扱う。PHPにセキュリティー上の欠陥が生じると、ハッカーが侵入してサーバー内の情報を持ち出したり、ウェブサイトを書き換えたり、他社のサーバーを操ったりする恐れがある。

この欠陥の可能性が初めて指摘されたのは2024年だった。当時は悪用の可能性が低いと判断され、修正は見送られた。だが、AIがこれを見つけたことで状況は一変した。ウォール・ストリート・ジャーナル（WSJ）によると、カリフの研究陣はGPT-5.6 Solを使ってPHPの脆弱性2件を発見し、PHP開発陣とともにオープンAIの資金支援を受けてセキュリティーパッチを開発した。

カリフのタイ・ズオン最高経営責任者（CEO）は「これまでは悪用があまりに難しいと考えられ、忘れられていた欠陥だった」と語った。そのうえで「セキュリティーパッチは公開されたが、ハッカーもAIを使ってパッチを逆解析し、攻撃に踏み切れば大混乱が起きる」と警戒感を示した。

クラウドフレア（Cloudflare）のマシュー・プリンスCEOはX（旧ツイッター）への投稿で、パッチ公開前の10時間は攻撃の試みが数千件だったのに対し、公開後は数百万件に達したと明らかにした。今回の脆弱性対応を巡っては、一部のセキュリティー企業が約束した時刻より早くパッチを公開し、ハッカーに分析時間を与えたとの指摘もある。

韓国、旧版の多さが弱点

世界の企業と政府は緊急対応に入った。米国と英国の政府は企業にセキュリティー更新を促す一方、パッチ適用が難しい場合はシステムをオフラインに切り替えるよう勧告した。オランダはハッキングに備え、欧州最大の港であるロッテルダム港や主要政党、病院、政府ポータルサイトなどのサービスを停止した。高市早苗首相は「ウェブサイトでPHPを使っているか確認し、修正パッチを可能な限り速やかに適用してほしい」と述べた。

韓国は今回のPHP攻撃に特に弱い国に分類される。セキュリティーパッチの適用が難しいPHP 8.1以下の比率は89%で、日本の79%、米国の71%、フランスの69%を上回る。とりわけ中小企業や小規模事業者では、外部業者に委託してウェブサイトを構築した後、保守契約が終わっているケースが多く、対応が難しい可能性がある。

ジニアンスのセキュリティセンター長を務めるムン・ジョンヒョン氏は、セキュリティー専門人材が十分でない中小企業のサーバーが脆弱な地点になり得ると指摘した。パッチを当てても、場合によっては他の機能と衝突するなど副作用が出る可能性があるという。韓国で被害事例はまだ報告されていない。

韓国政府も緊急対応に動いた。科学技術情報通信部は10月22日、危機評価会議を開いたうえで、正午から民間分野のサイバー危機警報「注意」を発令した。関心・注意・警戒・深刻の4段階からなる民間分野のサイバー危機警報のうち第2段階にあたる。これに伴い、事故対応人員を増やし、緊急出動班を常時待機させるなど非常対応体制を稼働させる。国家安保室もソン・ギホ第3次長の主宰で、科学技術情報通信部や国防部、国家情報院などと緊急対策会議を開き、分野別の対応状況を点検した。

▶PHP

もともとは「Personal Home Page（個人ホームページツール）」を意味したが、現在は「Hypertext Preprocessor」として使われている。構築しやすく、ホームページやネット通販、管理者ページなど多様なウェブサービスの開発に使われるプログラミング言語だ。

パク・ハンシン／ラ・ヒョンジン記者 phs@hankyung.com