2026年10月21日、Webサイトの約7割で使われているプログラミング言語「PHP」に、重大な脆弱性が2件公表されました。通称は「PHP2Shell」です。この脆弱性は、AIが発見に関わったことで大きな話題になりました。AIが脆弱性を見つける力は、守る側にとっても攻める側にとっても強力です。この記事では何が起きたのかを整理し、これからの時代に一番効くセキュリティ対策は何かを考えます。
※2026年10月23日時点の公表情報にもとづいて書いています。
PHP2Shellとは？何が起きたのか
- PHP本体の不具合で、ログインなしで外部からサーバーを乗っ取られるおそれがある（CVE-2026-109618・CVE-2026-109619）
- 影響はPHP 5.4以降のほぼすべての版。WordPressなど、PHPで動くサイト全般が対象
- サイトのプログラム自体に問題がなくても、PHPが古い版のままだと影響を受ける
- 10月21日に修正版が公開された。対策は修正版への更新で、設定の変更だけでは防げない
AIはどうやって脆弱性を見つけたのか
- セキュリティ企業のCalifは、OpenAIのAI「GPT-5.6 Sol」を使って1件を発見した
- Wizは自社のAIにGemini 4 ArgonとGPT-5.6 Solを組み合わせ、2件とも独自に見つけた
- Wizによると、攻撃が成り立つかの確認や、PHPの版・環境ごとの調整にAIを使い、作業時間が大きく縮んだ
- OpenAIは「今後数か月で、AIによる同様の発見が急増する」との見方を示している
AIの脆弱性発見能力で、何が変わるのか
- 守る側——攻撃者より先に穴を見つけて、ふさげるようになる。今回もAIが先に見つけたことで、公表前に修正の準備が進んだ
- 攻める側——同じ力を使えば、公表された脆弱性を突く方法を素早く作れる
つまり、脆弱性の公表から狙われるまでの時間は、これまでより短くなると考えるべきです。
高価なセキュリティ対策より大切な「日々の更新」
ファイアウォールや監視サービスなど、高価な対策を入れていても、土台のソフトウェアが古いままでは今回のような穴は防げません。PHP2Shellも、修正版に更新すれば防げます。逆に言えば、更新しない限り防げません。
大切なのは、特別なことより当たり前の運用を続けることです。
- 使っているソフトウェアと、その版を把握しておく——ホームページ、業務システム、外部サービスまで含めて
- 脆弱性の公表を見たら、すぐ更新する——サーバー会社や提供元の告知を確認する
- 「誰が更新するか」を決めておく——担当者のいない古いサイトを放置しない
AIが脆弱性を次々に見つける時代は、修正版が出る回数も増えます。更新をためない習慣が、そのまま守りの強さになります。
緑グリーンのツールの更新体制
当社の「つカエルAI」などのAIアプリと当社のWebサイトは、PHPを使っていないため、今回の脆弱性の影響は受けません。
それでも、使っているNode.jsなどのソフトウェアに脆弱性が公表されたら、すぐ最新版へ更新しています。このWebサイトでも、2026年10月にNext.jsとNode.jsのセキュリティ修正版を取り込みました。
どれだけ高価な対策よりも、日々のメンテナンスを積み重ねることが大切だと考えています。当社のツールを安心してお使いいただけるよう、これからも更新を続けていきます。
よくある質問（FAQ）
- Q. PHP2Shellとは何ですか？
- A. 2026年10月21日に公表された、プログラミング言語PHP本体の重大な脆弱性2件の通称です。ログインなしで外部からサーバーを乗っ取られるおそれがあります。PHPを修正版に更新することで防げます。
- Q. AIは本当に脆弱性を見つけられるのですか？
- A. はい。PHP2Shellでは、セキュリティ企業がOpenAIの「GPT-5.6 Sol」などのAIを使って脆弱性を発見したと公表されています。ただし、AIが見つけた結果の確認や修正、公表までの調整は人が行っています。
- Q. AIによるサイバー攻撃に備えて、まず何をすればいいですか？
- A. 使っているソフトウェアを最新版に保つことです。どのソフトのどの版を使っているかを把握し、脆弱性が公表されたらすぐ更新する担当者と手順を決めておきましょう。高価なセキュリティ製品を入れても、土台のソフトが古いままでは防げない脆弱性があります。
- Q. WordPressのホームページもPHP2Shellの影響を受けますか？
- A. WordPressはPHPで動いているため、サーバーのPHPが修正前の版のままなら影響を受ける可能性があります。レンタルサーバーを使っている場合は、サーバー会社の案内でPHPの更新状況を確認してください。
- Q. 緑グリーンのAIツールはPHP2Shellの影響を受けますか？
- A. 受けません。つカエルAIなどの当社AIアプリと当社Webサイトは、PHPを使っていません。また、使っているNode.jsなどのソフトウェアに脆弱性が公表されたときは、すぐに最新版へ更新しています。