OpenAIが「Patch the Planet」始動：GPT-5.6でPHPの深刻な脆弱性を発見・修正へ

世界のWebサイトの約7割が依存する基盤言語で、過去20年分の全バージョンに影響する致命的な脆弱性が発覚し、世界規模の緊急対応が繰り広げられました。

PHP2Shellと呼ばれるこの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）は、攻撃者に任意コードのリモート実行を許す危険なものです。セキュリティ企業のWizは、ソフトウェアの歴史上最も深刻な脆弱性のひとつだと警鐘を鳴らしています。

AIが掘り起こした20年前の地雷

今回の発覚経緯は極めて象徴的です。

OpenAIによると、同社のPatch the Planetイニシアチブの一環として、研究者がGPT-5.6 Solを用いてPHPの致命的な欠陥を発見しました。ほぼ同時期にWizも独自に両方の脆弱性を特定し、報告していました。

被害の甚大さを考慮し、OpenAIは過去2カ月にわたりPHPメンテナー、Cloudflare、米CISA、ホワイトハウスの専門チームらを巻き込んだ協調体制を主導。公表前にファイアウォール保護ルールやパッチの検証を秘密裏に進めていました。

しかし、攻撃者側の動きも寸前まで迫っていました。

Amazonの最高情報セキュリティ責任者（CISO）であるCJ Moses氏によれば、公表前の10月17日時点で同社のハニーポット監視網がPHP2Shellの悪用試行を検知していました。

公表後の攻撃急増は凄まじく、CloudflareのMatthew Prince CEOは、公表前10時間で数千件だった悪用試行が公表後2時間で数十万件に跳ね上がり、夜には数百万件に達したと明かしています。

孤軍奮闘のパッチ作成と失われるWebの歴史

インターネット全体の危機を食い止めた裏には、オープンソース開発者の過酷な現実がありました。

今回のパッチパッケージ作成をほぼ単身でやり遂げたのは、メンテナーのOndřej Surý氏でした。同氏はメディア取材に対し、Webを守れたことに安堵しつつも、AIによる発見加速が現場の防衛者に重い負荷をかけていると語り、長年放置されてきたオープンソースの構造的課題を指摘しています。

公表後、DeviantArtや4chanが一時閉鎖を余儀なくされ、インターネットアーカイブも緊急メンテナンスを実施しました。フィンランドやオランダの政府機関も一部サイトを予防措置として停止させました。PHP FoundationのエグゼクティブディレクターであるElizabeth Barron氏は、現時点で侵入成功は確認されていないとしつつも、即座のアップデートを呼びかけています。

一方で、救われなかったサービスもあります。

約20年前のコードに起因するため、更新が途絶えた古い環境にはパッチが適用できません。10年以上続いた日本のレトロソーシャルゲーム『World Quest』と『魔界村救出記（Save My Demonic World）』はアップデート不能を理由にサービス終了を発表し、Webの歴史の一部が永久に失われる事態となりました。

OpenAIは対応策として、Codexスキル版のバージョンチェッカーを無償提供するとともに、リソース不足の防御者を支援するために10億ドル規模のDaybreak利用補助枠を発表しました。

なぜ重要か

この事件は、AIを活用したサイバーセキュリティ攻防戦の幕開けを告げるものです。

Webエンジニアやシステム運用者にとって、古いPHP資産の総点検はもはや先送りにできない喫緊の課題です。古いシステムを稼働させたままにしておくことは、数百万件規模で押し寄せる自動化攻撃の格好の標的になることを意味します。

業界全体から見れば、フロンティアモデルが20年分のレガシーコードから容易にゼロデイを見つけ出せる時代に入ったことが証明されました。今回はOpenAIらが数カ月前に防御窓口を確保できましたが、Amazonの検知データが示す通り、攻撃者側の追いつく速度も限界まで上がっています。

OpenAIの組織的な協調開示アプローチや10億ドルの防衛者支援は評価できる動きです。しかし、AIが数秒で見つけ出した危機を、Surý氏のような無給に近い個人の奮闘で鎮火するエコシステムの脆さは放置されたままです。根本的なメモリ安全言語への移行や自動修正の仕組みが整わない限り、防衛側が疲弊し続ける構造的リスクは消えません。