今週、サイバーセキュリティとクラウドの分野で働く候補者2名から、面談延期の連絡がありました。理由はどちらも同じで、10月21日に公表されたPHPの脆弱性について、顧客の修正対応に昼夜を問わず追われていたためです。

同じ時期、日本企業のメールマガジンやサービスに登録している方であれば、脆弱性や緊急メンテナンス、場合によってはサーバーへの不正アクセスに関するお知らせを、次々と受け取ったはずです。

この1週間を通じて、さらに掘り下げてみたい問いが生まれました。今回の件は実際に何を浮き彫りにしたのか、そしてこれからの数年にとって何を意味するのか、という問いです。

何が起きたのか

2026年10月21日、PHPプロジェクトは2件の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）の修正を公開しました。研究者はこれを「PHP2Shell」と名付けています。PHPはWebサイトの約70%で使われている言語で、WordPressやDrupalのサイトはすべてPHPで動いています。今回の欠陥はPHP本体にあり、過去10年ほどにリリースされたほぼすべてのバージョンが影響を受け、攻撃者はログインすることなくサーバー上でコードを実行できます。深刻度のスコアは10点中9.2です。

脆弱性を発見したのは、OpenAIと協力するWizとCalifの研究者で、フロンティアAIモデルを活用していました。8月1日にCalifが最初の問題を特定し、8月19日にWizも同様に特定しました。WizがPHPのセキュリティチームに報告したのは8月24日で、修正と公表は10月21日に行われました。

攻撃者の動きは迅速でした。Cloudflareは発表から45分以内に数万件、その日の夜までに数百万件の攻撃の試みを観測し、Palo Alto Networksの初期分析では、脆弱性を抱える可能性のあるインスタンスは2,260万件にのぼりました。公式発表の前から悪用が始まっていたとみられ、詳細が事前に漏れていた可能性を示しています。

日本での対応は、異例なほど表立ったものでした。高市早苗首相はXで、サイト運営者に当日夜のうちに対応するよう呼びかけ、一時的な停止も有効な選択肢だと述べました。ANA、JR西日本、MUFGは、一部のページやサービスを停止しました。さくらインターネットをはじめとするホスティング事業者も、自社の対応状況を公表しています。クラウド型の業務・予約・POSシステムを提供するValtecは10月22日、PHPの脆弱性を悪用した攻撃を受けたことを公表し、顧客情報は漏えいしたものとして扱うべきだとしました。長年運営されてきたオンラインゲームのうち少なくとも2タイトルは、10年前のインフラを安全に修正できないとして、サービスの終了を発表しています。

AIが変えたもの

欠陥そのものは、新しいものではありません。OpenAIのグレッグ・ブロックマン社長は、根本的なバグは14年間PHPに存在しており、2024年に限定的な形で見つかったものの、重大とは判断されなかったと指摘しています。変わったのは、それを実際に機能する攻撃に変えるためのコストです。

Wizは今回の件を、AIによる転換点と位置づけています。同社の研究者によると、フロンティアモデルの支援によって複数のバグを連鎖させ、異なるPHPのバージョンや構成に合わせてエクスプロイトを調整できたため、かつては高度な技術を持つチームが数か月かけていた作業を、1人の研究者が1週間で終えたといいます。悪用は現実的でないと考えられていた欠陥も今や現実の標的となり、今後も同様の発見が続く可能性が高い、というのが同社の結論です。

AIの恩恵をより受けるのはどちらの側かについて、セキュリティ業界の見方は分かれています。Google DeepMindのラルカ・アダ・ポパ氏は、フロンティアAIはサイバー防御のゲームチェンジャーだと述べています。脆弱性の発見に協力したOpenAIは、同じ能力が攻撃者によるエクスプロイトの迅速な作成にも使われうると警告しています。Center for Internet SecurityのTJ・セイヤーズ氏も同様に、AIは長く埋もれていた欠陥を掘り起こし、複雑な攻撃チェーンを現実的なものにしていると指摘しています。Cloudflareは、攻撃者が数時間のうちにペイロードを書き換え、同社の緊急ファイアウォールルールをすり抜けようとしていたと報告しています。

私が読んだ論評に共通しているのは、欠陥が知られてから悪用されるまでの時間が大幅に短くなり、その状態が今後も続く可能性が高い、という点です。

浮き彫りになった課題

論評の中で繰り返し挙がっている課題は、3つあります。

古いシステムほど守りにくい。PHP 8.2以降には修正版がリリースされており、深刻度の高さから、7.4から8.1にも緊急パッチが提供されました。それより古いシステムや、PHPをアップグレードすると動かなくなるアプリケーションには、簡単な解決策がありません。サービスを終了した日本の2つのゲームが述べていたのも、まさにこの点でした。インフラが10年以上前のもので、安全な状態にできなかったのです。何年も前に構築され、その後積極的に保守されていないWebサイト、予約システム、社内ツールを運用しているすべての企業に、同じ問いが当てはまります。

安全かどうかの確認は、見た目以上に難しい。ホスティング事業者やLinuxディストリビューションは、表示されるバージョン番号を変えずに修正を適用できるため、バージョンの確認だけでは、サーバーが保護されているかどうかがわからない場合があります。またWizは、攻撃がアプリケーション層より下で行われるため、アプリケーションのログにはほとんど痕跡が残らない可能性があると指摘しています。

基盤となるソフトウェアの保守を担う人々のリソースが足りていない。インターネットの多くは、小さなチームが保守するオープンソースプロジェクトの上に成り立っています。OpenAIは、リソースの限られたメンテナー向けに資金とツールの提供を約束していますが、すべてのプロジェクトには行き渡らないことも認めています。また、現行の慣行が前提としてきた時間軸をAIが変えつつあるとして、脆弱性開示の新たな枠組みも提案しています。

多くの組織にとっての現状を端的に表していたのが、Cloudflareの助言です。同社のファイアウォールルールはあくまで一時しのぎであり、顧客はパッチを適用すべきだというものでした。

日本のエンタープライズテクノロジー採用にとっての意味

日本は今回の件以前から、セキュリティ人材が不足していました。ISC2のサイバーセキュリティ人材調査では、日本のサイバーセキュリティ人材の不足は約11万人と推計されています。また同調査の2025年の結果では、日本のセキュリティ担当者の42%が、自社で必要な人材を採用できていないと回答しており、世界全体の29%を上回っています。

今週目にしたのは、まさにその人材不足が現実になった姿でした。問題の修正にあたっていたのは、すでに引く手あまたのシニアエンジニア、コンサルタント、クラウドスペシャリストであり、本来の業務に加えて、顧客のために夜を徹して対応していました。前述の研究者が予想するように、AIによって公表から攻撃までの時間がさらに縮まれば、このような1週間は減るどころか、むしろ増えていくでしょう。

私が支援している外資系エンタープライズテクノロジー企業では、次のような領域で需要が一段と高まると見ています。

  • インシデントに対応し、迅速にパッチを適用できる、日本語で業務ができるセキュリティエンジニアとコンサルタント
  • 最新の環境だけでなく、レガシー環境も理解しているアプリケーションセキュリティと脆弱性管理のスペシャリスト
  • 古いシステムを、サポートと保守が続いているインフラへ移行できるクラウドエンジニアとプラットフォームエンジニア
  • 今回の件が自社にどう影響するのかを尋ねる日本の顧客との対話が大幅に増える、セキュリティベンダーのプリセールスとソリューションエンジニア

採用する企業にとっての長期的な教訓は、人的な余力の問題です。今回の1週間をうまく乗り切った組織には、当日の夜に動ける時間と権限を持った人材がいました。次の事態が起きてからではなく、その前に備えておく価値があります。

出典