世界のウェブサイトに「ハッキング非常事態」…AIがPHPの重大な脆弱性発見

世界中のウェブサイトで広く使われているプログラミング言語PHPに重大なセキュリティー脆弱性が見つかり、各国でハッキング警戒態勢が敷かれた。欧州の主要国は予防措置として政府機関ウェブサイトの運用を一時停止した。今回の脆弱性は人工知能（AI）を活用して発見されたもので、今後ハッカーがAIを使って大規模なサイバー攻撃に乗り出すとの懸念が高まっている。

21日（現地時間）のロイター通信によると、PHP開発陣は同日、2件の重大なセキュリティー脆弱性を修正した新バージョンを緊急公開した。開発陣は全ての利用者に「直ちにアップデートすることを勧告する」と表明した。今回の脆弱性は、攻撃者が別途ログインや認証手続きを経ずに外部から任意のコードを実行したり、システムを掌握したりするのに悪用できる欠陥とされる。

今回の事態が注目を集めているのは、PHPがインターネット全般で広く使われている中核技術だからだ。1990年代初めに登場したPHPは、ウェブサイトの開発と稼働に使われるプログラミング言語だ。

ウェブ技術分析会社W3Techsによると、使用されているプログラミング言語を識別できるウェブサイトの約75％がPHPを使っている。全ウェブサイトの約43％が利用するウェブサイト作成・管理システム「ワードプレス」もPHPを基盤に動作する。ドルーパル、ジュームラ、マジェントを基盤とするウェブサイトにも使われている。

重大な脆弱性が悪用された場合、被害が連鎖的に広がりかねないということだ。ドルーパル協会は「過去20年間にリリースされたPHPのバージョンを使う全てのサーバーが（サイバー攻撃に）脆弱だ」と警告した。

10年以上確認されていなかった今回の脆弱性の発見にはAIが活用された。サイバーセキュリティー企業カリフは、オープンAIのモデル「GPT-5.6ソル」を使って脆弱性を見つけた。グーグルが昨年買収したサイバーセキュリティー企業ウィズも、独自に2件の脆弱性を発見し、報告した。脆弱性の検知にはグーグルのモデル「ジェミナイ4アルゴン」とオープンAIの「GPT-5.6ソル」を活用した。

業界は今回の事態について、2014年に世界のインターネットに大規模なセキュリティー脅威をもたらした「ハートブリード」問題に匹敵するほど影響が大きいと評価した。

ウィズの共同創業者アミ・ルートワク氏は「AIが発見したセキュリティー脆弱性の中で過去最も深刻だ」とし、「AIがなければ発見するにはあまりにも複雑だっただろう」と語った。オープンAIも「今回の欠陥の深刻さとPHPの広範な利用を考慮すると、最近では最も影響力の大きいセキュリティー脆弱性の一つと評価する」と表明した。

PHP開発陣は当初、22日にセキュリティーパッチを公開する計画だったが、20日にオンライン掲示板に関連情報が流出したため、配布日程を1日前倒しした。

しかし、セキュリティーパッチが配布される前から一部のハッカーが脆弱性を悪用した攻撃を試みたとされ、懸念が広がっている。

ウェブ・クラウドセキュリティー企業クラウドフレアのデーン・クネヒト最高技術責任者（CTO）は「初期の攻撃の試みが現れており、新たな攻撃経路が発見されるたびに対応措置を更新している」と述べた。

実際、オランダ、フィンランド、ベルギー、デンマークなど一部欧州諸国の政府機関は、予防措置として政府機関ウェブサイトへの接続を遮断した。欧州や日本、オーストラリアなどのサイバーセキュリティー当局も緊急アップデートを勧告した。