2026年10月21日に修正されたPHPの脆弱性「php2shell」は、発見にAIが使われた事例でもあります。発見と検証に関わったWizは、調査で自社のWiz Atlas、GoogleのGemini 4 Argon、OpenAIのGPT-5.6 Solを使ったと書き、AIによって複雑な攻撃コードを作り、環境ごとに合わせる手間が下がったと指摘しました。攻撃の準備が早くなれば、守る側が判断に使える時間は短くなります。
この記事の要点
- AIは脆弱性の発見だけでなく、攻撃コードを環境ごとに合わせる作業の手間も下げている
- 今回は修正版の公開前から攻撃を主張するコードが出回り、国内でもサービスを予防的に止める判断が相次いだ
- 当てる危険と当てない危険を比べる判断者と条件は、事件の前に決めておける
10年以上残っていた脆弱性が、AIで掘り起こされた
Wizの技術解説によると、脆弱なコードは10年以上前から存在していました。攻撃に使うには複数のバグをつなぎ、PHPがリクエストをまたいでメモリをどう使い回すかまで踏まえることになります。PHPのバージョンや設定、アプリケーションの動きが違えば前提が崩れ、ある環境で成立した攻撃も、別の環境では作り直しが要ります。
Wizは、AI以前ならこうした作業は実装が難しく、規模を広げるのはさらに難しかったが、AIによってもはや障壁ではなくなったと書いています。AIは攻撃コードを環境ごとに合わせ、失敗を分析して直す作業を支えられるため、標的ごとに必要な専門家の手間が減る。その結果、これまで悪用が現実的でないと見られていた脆弱性も標的になり得る、という見立てです。発見の経済性と悪用の経済性の両方が変わった、とWizは表現しています。
ITmedia NEWSの報道によると、OpenAIも、米セキュリティ企業CalifがGPT-5.6 Solで2件のうち1件を見つけたと発表し、同じ能力が攻撃ツールの開発にも使われ得ると指摘しました。
修正版より先に、止める判断が来た
今回は修正版が出る前から、悪用できると主張するコードがインターネット上に出回り始めていると、GMO Flatt Securityが伝えていました。修正版の公開当日には、国内の複数のWebサービスやレンタルサーバーが、予防措置として緊急メンテナンスやサービスの一時停止を発表したと報じられています。
パッチがまだない段階で取れる手は、設定による緩和か、サービスを止めることです。PHPの開発チームは緩和策を示したうえで、それらは特定の攻撃経路への露出を減らすだけで、環境を安全にするものではないと明記しました。止めれば売上や顧客対応に直結するため、IT部門だけでは決めきれない判断です。
当てる危険と当てない危険を、誰が比べるのか
緊急パッチの判断は、性質の違う危険を比べる作業です。
すぐ当てる
検証が足りないまま更新し、業務アプリが動かなくなる危険がある。
検証を待つ
その間に攻撃を受け、情報の流出や改ざん、ほかのサーバーへの横展開につながる危険がある。
止めて時間を稼ぐ
サービスを止めて攻撃を避ける。売上や顧客、取引先への影響が出る。
平時の変更管理では、検証期間と承認の手順を踏みます。重大な脆弱性では、その手順を短くするかどうか自体が判断になります。誰がそれを決めるのかが決まっていないと、IT部門は「当てて壊せば責任を問われる」「当てずに侵入されても責任を問われる」の板挟みになります。
事件の前に決めておけること
- 短縮手順の発動条件: たとえば「認証なしで遠隔からコードを実行される脆弱性で、インターネットに公開したサーバーが対象」なら通常の検証期間を省く、と条件で決めておく
- 決裁者と代理: 夜間や休日にも連絡がつく決裁者と、その代理を決めておく
- 止めてよい範囲: どのサービスなら、IT部門の判断だけで一時停止してよいかを、事業部門と合意しておく
- 戻し方: 更新で不具合が出たときに戻す手順と、戻した後にどう守るかを用意しておく
AIで攻撃の準備が早まるなら、守る側は判断にかかる時間を縮めるほかありません。判断そのものをAIに任せる話ではなく、判断の条件を先に言葉にしておく話です。
パッチまでの時間を、通信の側で稼ぐ
パッチを当てるまでの間、通信の側で時間を稼ぐ方法もあります。当社の透過型UTM「ForceUTM」には期限付きの緊急遮断ボタンがあり、管理者の判断で、期限を決めて通信を止められます。上位プランのIPS（検知連動型）は、IDSの検知をきっかけに、通信先を名指しした期限付きの遮断ルールを配ります。現在の版は自動では止めず、管理者が承認した遮断の提案だけを止めます。止める判断は人が持ったまま、その操作を短くするための機能です。
ForceUTMは、拠点や中小規模のグループ会社のオフィスに置くことを想定した製品です。本社のデータセンターやクラウドの対策を置き換えるものではありません。
参考資料
パッチまでの時間を、通信の側で稼ぐ
拠点やグループ会社のオフィスで、期限付きの遮断や通信の見える化をどう組み込むかをご相談ください。
製品の詳細はForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・