PHP2Shellの脆弱性：AIはサイバーセキュリティのルールをどう変えているのか？

PHP2Shellの危機：業界への早期警告

PHPプログラミング言語における「PHP2Shell」と名付けられた2つの重大なセキュリティ脆弱性が、世界的な技術的警戒態勢を引き起こしました。これらの脆弱性は政府、教育、医療機関のウェブサイトやサービスを一時的に停止させました。攻撃者が影響を受けたサーバー上でリモートから悪意のあるコードを実行することを可能にするためです。

CloudflareやAutomatticなどの大手テクノロジー企業は保護措置の適用に急ぎ、一方PHPプロジェクトはサポートされているバージョン（8.2から8.5）に向けて緊急修正をリリースし、古いバージョンには限定的なサポートを提供しました。しかし、この危機の核心は単なる「ソフトウェアの脆弱性」にとどまりません。この出来事は、AI時代においてセキュリティ上の欠陥がどのように発見されるかにおける転換点を表しています。

人工知能：諸刃の剣

調査により、これらの脆弱性が高度なAIモデルを使用して発見されたことが明らかになりました。Calif社はGPT-5.6 Solモデルを使用し、一方Wiz社は独自に脆弱性を発見しました。この発見は、Chainguard社が「PHPの深刻な脆弱性を見つけて」という簡単な命令を通じてAIを使用し、合意された期限前に修正済みのコンテナイメージ（Container images）を公開した後に、幅広い議論を引き起こしました。

PHP財団はこの行動を「非専門的である」と批判しました。この行動は2ヶ月間にわたるセキュリティ調整の取り組みを台なしにし、全員がシステムをアップデートする前に攻撃者に脆弱性を悪用する機会を与えてしまう可能性があるためです。

このニュースが重要な理由

この出来事はサイバーセキュリティにおける「ニューノーマル（新しい常態）」を表しており、AIツールは何百万行ものコードをスキャンし、何十年も隠されてきた脆弱性を発見できるようになりました。真の課題は発見ではなく、対応にあります：

• リソースのギャップ：ボランティアに依存する小規模なオープンソースプロジェクトは、自動的に発見される脆弱性の洪水の処理に必要なリソースを持っておらず、開発者の燃え尽き症候群や、多くの人々がプロジェクトを放棄する事態につながる可能性があります。
• 修正の複雑さ：脆弱性の発見は簡単な部分です。互換性を壊したり、複雑なシステムのパフォーマンスに影響を与えたりしない修正を記述することは、深い人間の専門知識を必要とする作業であり、脆弱性が発見されたにもかかわらず一部の修正が遅れている理由を説明しています。
• 企業の責任：専門家は、負担はこのソフトウェアに依存する企業へと移行すべきであると考えています。企業は、開発者のボランティアの努力に完全に依存するのではなく、セキュリティ監査の資金提供や開発者の支援に貢献しなければなりません。

PHP2Shellのケースは始まりに過ぎません。AIの脆弱性「発掘」能力が向上し続けるにつれて、対応のスピードとサイバーセキュリティのライフサイクル管理は、将来のソフトウェアインフラストラクチャの強さを測る真の基準となるでしょう。