2026年10月、Webサイトを動かす基盤技術「PHP」に重大な脆弱性が公表され、影響の確認や更新対応が求められています。IPAによると、今回の「PHP2shell」は、悪用が確認された脆弱性として米国CISAの一覧にも登録されました。[1]

今回、注目したいのは、問題の発見にAIが使われたことです。OpenAIの公表によれば、セキュリティ企業CalifがAIを用いて重大な欠陥を発見し、PHPの保守担当者が修正を主導しました。つまり、まず確認できるのは、防御側がAIを活用したという経緯です。[2]

一方、AIを悪用した攻撃も現実になっています。Anthropicは2025年11月、同社のAIツールを使ったサイバースパイ活動を報告しました。今回のPHP問題とは別の事例ですが、AIが調査や攻撃に関わる作業の実行にも使われたとされています。[3]

コードを読み、弱点を探し、作業を進める。その能力が、攻撃にも防御にも使われる時代になったのです。

ただし、防御に優れたAIがあれば、それだけでWebサイトが安全になるわけではありません。問題の発見から、実際の更新完了までには、人と組織が担う仕事があります。

「自社のサイトは対象なのか」「制作会社とサーバー会社のどちらが対応するのか」「一時停止が必要なら誰が判断するのか」。こうした確認で足踏みしていては、修正プログラムが公開されても対策は進みません。

Webサイトは、見た目が変わらず正常に表示されていても、内部のソフトウェアに更新が必要な場合があります。また、制作、コンテンツ更新、サーバー管理では担当範囲が異なります。日頃から、利用している技術と管理先、更新担当者、緊急時の判断者を整理しておくことが大切です。

AIは、注意喚起の要点整理や確認項目の作成など、担当者の負担を減らす用途にも活用できます。ただし、AIの回答をそのまま安全性の証明にはできません。公式情報と実際の構成を照合し、更新後の動作を確かめる工程が必要です。

これから問われるのは、問題を発見する速さに、現場の対応が追いつけるかどうかでしょう。その対応を支えるのは、技術だけでなく、日頃から相談し、状況を共有できる関係です。

百人組は、Webサイトの開発・保守・運用に関わる立場として、専門的な情報をお客さまに分かりやすく伝え、必要な対応や優先順位を一緒に確認していくことを大切にしたいと考えています。AIの力も生かしながら、お客さまやサーバー管理会社などと連携し、問題が起きたときにも迷わず対応を進められるよう備える。そうした日々の積み重ねが、安心してWebサイトを運営できる土台になると考えています。

---

本記事は2026年10月29日時点の公開情報に基づいています。

参考資料・関連情報

[1] IPA：PHPの脆弱性対策について

[2] OpenAI：PHPの脆弱性発見と修正に向けた国際連携（英語）

[3] Anthropic：AIを悪用したサイバースパイ活動の報告（英語／今回のPHP問題とは別の事例）