AIが「穴」を見つける時代、鍵をかけない会社から狙われる──php2shellが突きつけた現実

コラム

2026年10月21日の夜、Webの世界に冷たい風が吹いた。深刻度9.2の重大脆弱性「php2shell」が見つかり、外部から任意のコードを実行される恐れがあると公表されたのだ。 itmedia

ITに詳しくない方のために、ざっくり言い換えておく。PHPとは、ホームページの裏側で動いているプログラミング言語だ。日本の中小企業のホームページの多くを支えるWordPressも、このPHPの上で動いている。今回見つかった穴は、そのPHPそのものに空いていた。しかもログインなどの認証なしで、外部からサーバー上のコードを実行される。つまり、鍵を持っていない人間が、玄関から堂々と入れてしまう状態だったということだ。 itmedia

AIニュースを追う編集長として、そして日々AIツールを喜んで使い倒している一人として、今回ばかりは「対岸の火事」として眺めるわけにはいかないと感じている。

現実｜「WordPressを更新したから大丈夫」は通用しない

まず押さえておきたいのは、今回の問題の厄介さだ。問題はPHPのランタイムそのものにあるため、WordPressやLaravelなどアプリやCMSの書き方とは関係なく影響を受け、WordPress本体やプラグインを更新しても直らない。 ai-revolution

「うちのサイトにはファイルのアップロード画面なんてないから関係ない」という声も聞こえてきそうだが、それも違う。攻撃者は画面のフォームなど使わずリクエストを直接送りつけ、PHPはアプリのコードが動く前にその中身を自動で解析してしまう。だから、アップロード画面の有無は関係ないのだという。 itmedia

影響範囲も広い。修正版より前のPHP 5.4以降を実行するWebサーバーが影響を受ける。十年以上前に作って、そのまま「放置」しているホームページも、もちろん例外ではない。 impress

私の周りでも、すでに動きが出ている。顧客リストを抱えている会社、Webフォームで予約や申し込みを受け付けている会社が、次々と対策に追われ、中にはひとまずWebからの申し込みを止めてしまったところもある。賢明な判断だと思う。売上の機会を一時的に失っても、顧客の情報を流出させるよりはるかにましだ。

皮肉｜穴を見つけたのは、AIだった

今回の件で、私がいちばん考えさせられたのはここだ。この2つの脆弱性は、セキュリティ企業のCalifとWizがそれぞれ独立して2026年8月に発見していた。そしてCalifは、OpenAIが2026年6月に発表したセキュリティイニシアチブ「Patch the Planet」の一環として1つ目の脆弱性を発見した。 gigazinegigazine

要するに、AIが人間より先に、世界中のサーバーの“穴”を見つけたのである。

今回は「守る側」のAIが先に見つけ、修正版が出た。OpenAIは、自社サイトが影響を受けるかを確認できるツールまでGitHubで公開した。これは素直に、AI時代の明るい側面だと思う。 impress

だが、裏を返せばこういうことだ。守る側のAIに見つけられる穴は、攻める側のAIにも見つけられる。公開された修正内容から、攻撃の手口をAIで短時間に割り出せるのではないか──そんな懸念もすでに語られている。これまでなら「誰もうちみたいな小さな会社は狙わない」で済んでいたかもしれない。しかしAIが攻撃を自動化する時代に、規模の大小は関係ない。鍵の開いている家から順番に入られるだけだ。

警鐘｜顧客を持たない製造業こそ危ない

「うちはBtoBの製造業で、ネットで個人情報なんて集めていない」。そう考える経営者の方もいるだろう。だが、私はむしろ製造業こそ気をつけてほしいと思っている。

製造業のホームページには、問い合わせフォームがあり、採用ページがあり、場合によっては取引先とのデータのやり取りの入り口もある。仮にサーバーが乗っ取られれば、サイトを改ざんされて取引先や求職者を偽サイトへ誘導する「踏み台」にされかねない。IPAも、セキュリティの強固な大企業ではなく、同じサプライチェーンに連なる中小企業を経由して本命の企業を攻撃する事例が報じられていると注意を促している。被害者であるはずの自社が、気づけば加害者側に立たされている。取引先からの信用を何より大切にする製造業にとって、これほど痛い話はない。 ipa

持論｜日本は、セキュリティにおいて「平和ボケ」なのか

ここからは、あくまで私の勝手な持論だ。日本はセキュリティにおいて「平和ボケ」なのではないか──そう思って調べてみると、少し違う姿が見えてきた。

国としての制度は、実は世界のトップクラスだ。国連の専門機関ITUの2024年版の評価で、日本は米国やオーストラリアと並ぶ最上位グループ「Tier 1」に入っている。 drishtiias

問題は、企業の現場である。シスコの2024年版調査では、現在のリスクに対応できる「成熟」した体制を整えている日本の組織はわずか2%にとどまった。NRIセキュアの2021年の日米豪比較では、セキュリティ人材が不足していると答えた企業は日本で90.4%に達したのに対し、米国は12.9%、豪州は11.6%。桁が違う。そして中小企業の6割は、情報セキュリティ対策への投資をしていない。 internet.watch.impress.co.jp +2

つまり日本は、危機に無関心なのではない。怖いとは思っているが、人も予算も仕組みもないまま、制作会社に任せきりにしているのだ。私はそれを「平和ボケ」と呼びたくなる。

希望もある。IPAの2024年度調査では、セキュリティ担当者を置いている中小企業の59.8%が「対策が取引につながった」と答え、各自任せの企業では24.2%にとどまった。セキュリティはコストではなく、取引先からの信頼を勝ち取る“投資”になりうるのである。 itmedia

新しいAIツールが出れば「便利だ」と喜んで飛びつく。それ自体は素晴らしいことだし、本誌もずっとその背中を押してきた。だが、AIツールの多くは社内データや顧客データに触れる。便利さの入り口を広げるほど、守るべき扉も増えていくのだ。

結論｜「便利」の前に、まず「鍵」をかけよう

では、何をすべきか。難しいことではない。まずは次の5つから始めてほしい。

  1. 自社サイトのPHPのバージョンを確認する（分からなければ、制作会社やサーバー会社に今日問い合わせる）
  2. 修正版へ更新する。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12の4つで、PHP公式は完全な回避策はなく更新が唯一の安全な選択肢だとしている skilllog
  3. 古すぎるPHPのまま動いているサイトは、移行計画を立てる。修正版が提供されないバージョンを使い続けるのは、鍵の壊れた扉を放置するのと同じだ
  4. フォームで集めた情報を、サーバーに溜め込まない仕組みを見直す
  5. 「誰がサイトの保守責任者か」を社内で明確にする

AIは、これからますます私たちの仕事と暮らしを便利にしてくれる。私はそれを心から楽しみにしているし、楽しみ尽くしたいとも思っている。

だからこそ、扉を開ける前に鍵をかけよう。安全があってこその、楽しいAI生活なのだから。

参考

関連記事

コラム記事一覧

TOP
CLOSE