どんなにゅーす？
・世界中のウェブサービスで広く利用されているPHPに複数の深刻な脆弱性が発覚、日本国内を含む多くのサイトやシステムがバージョンアップや修正パッチの対応のために大混乱に陥った。
・CNNでは、AIがこれらの脆弱性を発見したと報道。この先、既存のプログラムが人智を遥かに超えた能力を持ったAIによって簡単に突破され、（金融からインフラまで）世界中のネットワークサービスがメルトダウンする事態を懸念する声が上がっている。
|
|
|
PHPの脆弱性はAIが発見、人間にはほぼ限界 影響はインターネットの70％に
～省略～
今回の脆弱性の存在は、米オープンAIとグーグル傘下のサイバーセキュリティー企業ウィズ、別のセキュリティー企業のカリフがそれぞれ21日に公表した。「PHP2Shell」と命名されたこの脆弱性は、悪用された場合、不正なコードを実行されたり、パスワードなどの重要情報を含むメモリを読み取られたりする恐れがある。
今回の発見にはAIが重要な役割を果たした。各社の研究チームはそれぞれAIを利用することで、複数のアプリにまたがるサイバーセキュリティー調査をわずか数時間で実行できたと伝えている。AIをめぐっては、技術の進歩がサイバー攻撃の激化につながりかねないと指摘され、政府も業界も懸念を強めていた。
「最先端のAIモデルと適切なツールを使うことで、かつては世界レベルのチームが何カ月もかけてやっていたようなことを、たった1人の研究者が1週間で完了できた」。ウィズの研究チームは21日のブログにそう記している。
ウィズが使用したのはグーグルのAI「Gemini 4 Argon」と「Wiz Atlas」、およびオープンAIの「GPT-5.6 Sol」。発見は8月下旬だったが、PHPの修正プログラムが完了するのを待って、21日に公表した。
PHP運営団体のPHP財団は、今回の脆弱性を修正する更新プログラムを公開し、ウェブサイト運営者らに対して直ちにシステムを更新するよう促している。
ウェブインフラ提供企業のクラウドフレアによると、今回の脆弱性を悪用された場合、攻撃者がサイバー攻撃を仕掛けてサービスを妨害したり、顧客情報などを流出させたりすることが可能だという。
～省略～
「もはや平時ではない」：何だかインターネットの世界がメチャクチャになってきた中で、60年以上前からの遺物であり現役である日本の銀行システムCOBOLの脆弱性を思う
～省略～
日本も世界もどれだけのサイトが停止、あるいはメンテナンスになったか、あるいはなっているかわからないほどです。
ちなみに、脆弱性が発表されたのは昨夜 11時頃でしたが、それ以来現在まで、
「 Cloudflare ネットワーク全体で数百万件の悪用試行」
が確認されているそうです。
この Cloudflare ネットワークというものへの影響は、WordPress というものを使っているすべてのブログ・個人サイト・企業の普通のサイトへの影響となり得ます。
たった 24時間以内の間に起きたことととしては、もう史上最大の事件ともいえそうです。
～省略～
昨日、AI の Grok に、「この問題は今後悪化すると思いますか？」と聞きました。
質問：こういう重大な脆弱性が、これからも出てくるかどうか AI 視点から見てどうですか？
—
AI （Grok）の回答：
はい、今後も出続けます。 しかもAIの視点から見ると、むしろ「見つかる頻度」は今後しばらく上がる可能性が高いです。なぜそう言えるか
1. ソフトウェアの複雑さは減らない
PHPに限らず、Linuxカーネル、ブラウザ、主要フレームワーク、ライブラリは巨大で長年積み重ねられたコードを持っています。複雑なほどバグは潜在しやすく、今回のPHP2Shellのように「何年も・何十年も存在していた重大な脆弱性」が後から見つかるケースは今後も普通に起きます。2. AIが発見を加速させている（すでに起きている）
2026年のデータでは、月間の脆弱性公開数が前年比でほぼ倍増しています。Googleの脅威インテリジェンスグループなどの報告では、AIが発見に関与した脆弱性はリモートコード実行につながる割合が通常の約2倍（50% vs 26%）と高く、より深刻なものが目立ちます。今回のPHPの脆弱性自体も、AIを活用した調査で見つかったとされています。人間だけでは見つけにくかった深いメモリ関連の問題を、AIが掘り起こしやすくなっています。AI講座を受講
（以下略。全文はこちらにあります）
～省略～
もちろん銀行のシステムは常に大きく進歩していますが、基本的には、
「昔作った安定した COBOL のプログラムに、つぎはぎで新しい機能（ネットバンキングやスマホ対応など）を付け足す」
という方法でずっとやってきているのです（銀行システムの歴史より）。
もちろん、この書き方は単純に過ぎるとはいえ、結果として、
「システムの奥深くには数十年前に書かれたコードが今も現役で眠っている状態」
になっているようなのですね。。
銀行がこの古い仕組みを残し続ける理由はいくつかあるようですが、最大の理由は、「移行リスクが大き過ぎる」ということのようです。
たとえば、メガバンクのシステムは数千万行を超える巨大なプログラムらしいのですが、これを最新のプログラム言語へ一括で書き換えるのは相当厳しい作業のようで、そして、「万が一失敗した場合」は、
「全決済の停止などの恐ろしい結果となりかねない」
ということもあり、踏み切れないようです。
～省略～
こういう古いシステムにつぎはぎした状態なのが現在の日本の銀行システムであるわけですが、これも AI に聞いてみました。AI講座を受講
つまり「 AI が COBOL のバグを見つける可能性はないのか？」ということです。
質問：今回のPHPの問題も何年も以前からあった脆弱性を AI が見出したと聞きますが、COBOLにも何十年にも積み重ねられてきたバグや脆弱性が存在する可能性はあるのでしょうか。
—
AI （Gemini）の回答：
はい、COBOLにも何十年もの間に積み重ねられてきたバグや未知の脆弱性が存在する可能性は、極めて高いと言えます。～省略～
PHPよりもはるかに歴史が古く、何十年にもわたって「つぎはぎ」されてきたCOBOLの銀行システムには、同様かそれ以上に根深いリスクが存在すると考えられており、その理由は主に4つあります。
（以下略）
～省略～
|
|
|
PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いいたします。
https://t.co/TFPc8QIdUN— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast) October 21, 2026
PHPの重大な脆弱性に関し、本日午後11時に公開が予定されている修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast) October 21, 2026
もうPHPとか止めて、皆静的HTMLに戻ろう。
阿部寛のホームページが正しかったんだ。— HARAKI Masashi/原木 正志 (@m_haraki) October 21, 2026
【これ知らないと人生損する】
あの「阿部寛のホームページ」が緊急メンテナンスに突入wwwセキュリティー知らない人も彼のHPについては知っておいた方がいいよ。
知らない人のために説明すると、阿部寛さんの公式HPはネット界隈では伝説的な存在。
なぜなら、とにかく表示が爆速だから。
・画像が少なく、驚くほどシンプル
・昔ながらのデザインを長年維持
・通信環境が悪くても開きやすい
・ネットの接続確認に使う人までいる
・実はファンが作ったサイトが公式HPになった
「阿部寛のHPすら開けないなら、ネット環境を疑え」とネタにされるほど。
そんなネット界の最後の砦ともいえるサイトが、10月22日午前2時ごろから緊急メンテナンスに。
ただし、阿部寛さんのHP自体に問題が起きたわけではなく、利用している@nifty側のメンテナンスによるものとみられる。
どんなに軽いホームページでも、サーバーが止まれば開けない。当たり前のことなのに、阿部寛のホームページだと一大ニュースになるのが面白すぎるwww
ちなみに、まだ見たことがない人は、復旧したら一度見てほしい。
想像以上にシンプルで驚くはず。
https://t.co/8mRyMaXffq
— ぴらりん (@pipipirarinaoki) October 21, 2026
【PHPセキュリティ問題 時系列順まとめ】
今回のPHPの事案を時系列順にまとめてみました。
—-
2024年：PHPの潜在的な脆弱性を発見
外部監査をきっかけにメモリ管理の問題を認識。
しかし、修正方針がまとまらず約2年間対応が停滞。↓
2026年8月：重大な任意コード実行リスクが判明
Calif（セキュリティ企業）やOpenAIなどが、認証なしで任意コード実行（RCE）が可能な攻撃経路を報告。
PHP開発チームが修正を最優先で進める。↓
10月21日 0時頃：脆弱性情報が事前流出
修正パッチ公開前に、2件のCVE番号がHacker Newsへ投稿され、←何してんの
それがSNSや掲示板にも拡散。※この時点では技術的な詳細は含まれていなかった。
↓
10月21日 4時30分：PHP公式が緊急告知
情報流出を受け、パッチ公開予定を22日から21日23時（日本時間）へ前倒し。↓
10月21日 5時頃：攻撃実証動画が誤公開
Califが攻撃の動作動画を誤って公開。←最高にカス、バカすぐに削除されたものの複製が拡散し、攻撃コードの開発が加速。
↓
10月21日：研究者らによる未検証情報が拡散
パッチ公開前に、@ J4ck3LSyN などによって脆弱性の原因や再現方法をSNSなどで発信する動きが発生。←余計なことをするな↓
10月21日 16時41分：修正済みバイナリを先行公開
Chainguard（セキュリティを専門とする米国企業）が公開予定の約6時間前に修正済みコンテナイメージを配布。←最大最悪のカス、超絶ルール違反これにより攻撃者によるパッチの差分解析が可能な状態に。
※PHP Foundationもこれを一方的なエンバーゴ違反（事前に取り決めた情報の公開禁止期間を守らないこと）と明言しています。
↓
10月21日：国内外でサービスの緊急停止が相次ぐ
修正パッチがまだ提供されていないため、国内外のWebサービスや政府機関が予防措置として一時停止・メンテナンスを実施。↓
10月21日 23時頃：PHP公式が修正版を公開
CVE-2026-109618、CVE-2026-109619への修正を含むPHP 8.2〜8.5の更新版を公開。↓
10月22日：情報流出と管理体制の問題が焦点に
PHP Foundationが、2024年からの修正停滞を組織的な失敗と認める。協調的な脆弱性開示が崩れた経緯も問題視される。—-
【結論】人災。
特に、
⚠️ Califが攻撃の動作動画を誤って公開したこと
⚠️ Chainguardの勝手な判断による修正済みバイナリを含むコンテナイメージの公開
が最悪。終わってます。— セカヤサ@AI×Web制作💻小林 秀樹 (@hideki_climax) October 22, 2026
今回大問題となったPHP問題の経緯を調査したのでまとめておきます。結構間違った認識がXで拡散されてるので、こちらが拡散されて少しでも認識が正されればと思います。
〈背景〉
元々PHPは秘密裏に対策して一斉に公開する予定だったが、いくつかの裏切りにより騒ぎとなって前倒しとなった。経緯は以下の通り。〈時系列整理〉
◽️2024年にPHPにて欠陥兆候を発見したが具体的な攻撃方法が不明で修正が難航し対応が進まなかった。
↓
◽️2026/8/11 セキュリティ企業CalifがOpen AIを活用した調査で認証不要の遠隔コード実行を発見
↓
◽️2026/10/21 脆弱性の情報漏洩が起こり、匿名掲示板Hacker newsに投稿され、その後Xでも拡散。
↓
◽️同日、情報漏洩を受け修正予定を前倒しへ、しかしCalifが攻撃の実証動画を誤って公開して拡散された、脆弱性の深刻度が(ハッカーにも)認識されてしまう。
↓
◽️ソフトウェア会社Chainguardが事前共有された修正版を予定より早く公開し、これにより仕組みの逆算で攻撃手法がバレる事態に発展するリスク
↓
◽️10/21 23:00にPHPが修正版が正式公開こうしてみるとこの件は事前の漏洩が多すぎるな。ちょっとした映画を作れそう…
今回の深刻度を技術的に理解できる方だと「こんなえげつない問題がよくずっと発見されなかったな」と疑問におもわれるかもしれないが、実は2024年にはすでに予兆は見つかっていたというのが興味深い。そしてAIによって攻撃手段が判明したことで、逆算して対策を考えられるようになり、難しかった修正対応が進んだのが大きいです。
調べた限りではこれが正しい認識と理解してますが、正確な事実が拡散されればと思います。また重要な情報があれば可能な限り正確に整理して投稿していきます。
— らら侍 (@Jack31415926000) October 22, 2026
PHP欠陥公表前に悪用か 米アマゾン、攻撃形跡確認 短時間でのプログラム修正が必要に
https://t.co/IU9QYOgRIS攻撃者が公表前に情報を入手した経緯は不明。公表前に確認した攻撃が実際のシステムで成功したかどうかは分析中だとした。公表後は広く悪用されているという。
— 産経ニュース (@Sankei_news) October 22, 2026
|
|
|
長年人間が見つけられなかったPHPの深刻な脆弱性をAIが簡単に見つけ、世界のウェブサービスが大混乱に！この先、既存のプログラムの深刻な欠陥をAIが次々と見つけ、想像を絶する危機が起こる可能性！
やはりそうでしたか。
PHPの深刻な脆弱性が複数見つかり、国内外のインターネットサービスが大混乱に陥った中、これを見つけたのがAIだったことが判明。
上記のCNNの記事によると、これを見つけたのは、グーグルのAI「Gemini 4 Argon」と「Wiz Atlas」、およびオープンAIの「GPT-5.6 Sol」とのことで、わずか数時間で見つけたということです。
PHPを使用している世界中のネットワークサービスが、PHPの最新の修正パッチをすぐに手に入れる必要が出たことで、ここ1・2日の間、数えることができないほどのウェブサイトやネットワークサービスが運用停止を余儀なくされた。
当サイトも例外ではなく、しかも、採用していたテンプレが古いものであるために、PHPを最新バージョンに更新するとそもそもサイトの運用自体が出来なくなることが判明。
昔は、サイトを長期間停止させ専門業者に頼んで何十万もの費用をかけて改修しないといけなかったのに、AIに相談したら、すぐに、最新のPHPに適用した完璧な構文を作ってくれ、そのお陰ですぐにサイトを改修することが出来た。
恐らく、世の中の多くの運営者もAIに頼らないとどうにもならなったことが想像できるし、もう、すでに今の人間社会はAIに依存しないと持続することが不可能になっている。
人間が全く見つけることが出来なかった深刻な脆弱性をものの数時間ですぐに炙り出したというのですから、人間界の「超天才」ですら全く太刀打ちできない状況です。
上記のIn deepさんの記事では、この先、（金融サービスやインフラに至るまで）人間が作り上げた既存のシステムプログラムについて、AIが次々と重大な穴を見つけ出す事態が起こることを示唆していますが、どう考えてもそうなる未来しか想像できません。
当サイトのケースも、問題が発生している箇所を特定し、最適なコードを作り出したのはものの数秒だ。
日本国内においても、おびただしい数の企業のシステムが不正アクセスを受け、凄まじい勢いで市民の個人情報が盗まれ続けているけど、こうした背景には、闇社会のハッキング集団がAIを駆使し、プログラムの穴を容易に見つけて侵入していることは言うまでもない。
この流れを止めるには、こちら側もAIを使う以外に方法はない。
つまり、AIが人間自体を完全なまでに統治・支配しながら、AI同士が戦争する時代に入ったということだ。
ハッキング集団や戦争資本勢力がAIを駆使して人間界を混沌に陥れようとしているのですから、人間社会を守ろうとしている良識ある人々も、「良識あるAI」を使ってこれを止めるしかないということですね。
すでにそうなる未来が限りなく確定していますが、この中でどのようにすれば私たちの人権や尊厳、平和を守ることができるのか、まだ私にはよくわかりません。
この先は、より根源的な意味での「善と悪の戦い」になっていくだろうし、恐らく、人間を守る「善良なるAI」を作り上げるには、作り出す人間自身が善良でなければならないはずだ。
本当に難しい世界になってきたし、レイ・カーツワイルが提唱してきたように、AIの能力に人間が追いつくのは、脳にチップを埋め込み、人間の脳自体をネットワークに繋げるしかなくなってきたようだ。
↓Squareからのゆるねとにゅーすへの支援はこちら↓
================この記事が「良かった」「共感した」「参考になった」「役に立った」と思ったら、カンパ（ご支援）いただけますと嬉しいです！
●(new)クリエイター支援サイト「Ci-en」を通じた支援（クレジット・銀行振込・電子マネー等多くの支払い方法に対応）
100円～50,000円まで、自由に金額を設定しチップを贈ることが出来ます。（Ci-enを通じた詳しい支援の仕方はこちら）
↓「Ci-en」を通じた当サイトへのご支援はこちらから↓
●「note」を通じての支援（ゆるねとにゅーすイメージソングの購入…価格500円・税込・クレジットまたはモバイル決済）
楽曲の購入とは別に、クリエイターサポート機能を利用することで、100円～10万円までご支援いただけます。
楽曲を購入せずに、サポートのみ（100円～10万円）を行なうことも可能です。
（サポート機能について詳しくはこちら）
●月額ウェブマガジン「ゆるねとパートナーズ」のご購読（クレジット決済または銀行自動引き落とし）
およそ3日に一度配信（月10回）されるウェブマガジン「ゆるねと通信」や、管理人やキャラクターによる動画配信、不定期配信の会員限定記事などをお届けいたします。
金額は月500円～ご自由にお選びいただけます。
決済方法は、PayPalによるクレジット決済または銀行の自動引き落としです。
詳しくは「ゆるねとパートナーズ」のウェブサイトをご覧くださいませ。
|
|
|
