2026年10月23日時点の情報です。
いつも見ているWebサイト。その裏側を支える「PHP」という技術で、攻撃に悪用されるおそれのある欠陥が二つ見つかりました。一つの発見には、OpenAIのAIが使われています。
「PHPって初めて聞いた」「サイトを見るだけでも危ないの？」。そんな疑問に、レストランのたとえと図で答えていきます。
先に知っておきたいのは、欠陥が見つかったことと、すべてのサイトで被害が起きたことは別だということです。
1．PHPって何？ レストランで考えてみよう
レストランで料理を注文すると、厨房で料理が作られ、テーブルに運ばれてきます。お客さんに見えているのは、料理を作る途中ではなく、できあがった料理です。
PHPが担うのは、画面に出す情報を「裏側で用意する」仕事です。
Webサイトでも、ページを開くと、裏側のコンピューターが必要な情報を用意して返します。このコンピューターが「サーバー」です。
PHPは、そのサーバーに仕事の手順を伝えるためのプログラミング言語です。 PHPで書かれたプログラムが、厨房で料理を用意するように、表示する情報を用意します。ブログやホームページを作る「WordPress」にも使われています。
その「裏側」に、危険な弱点が見つかった
今回の欠陥は、悪意のある人がログインせずに、サーバーで勝手にプログラムを動かせるおそれがあるものです。サイトを書き換えたり、情報を盗み出したりする攻撃につながる可能性があります。
レストランにたとえるなら、関係のない人が厨房へ入り込み、勝手なことをできてしまうような問題です。
脆弱性（ぜいじゃくせい）＝攻撃に悪用されるおそれのある弱点。
ただし、「入り込める弱点がある」と「実際に誰かが入り込んだ」は別の話です。
PHPの開発チームは10月21日に、この問題を直した「修正版」を公開し、速やかに更新するよう呼びかけました。
2．AIは何を見つけ、人は何をした？
OpenAIによると、セキュリティ企業Califは、AIモデル「GPT-5.6 Sol」を使って重大な欠陥の一つを発見しました。別のセキュリティ企業Wizも、独立して二つの脆弱性を発見・報告したとされています。
その後、PHPの保守担当者が修正と公開を主導しました。研究者やセキュリティ企業などが協力し、情報を公開する前から対策を準備していました。
発見から、各サイトへの対策まで
- 欠陥を発見・報告
研究者が調査し、問題を報告する。
〈発見の一つをAIが支援〉 - 問題を確認し、修正する
研究者・開発者が影響を確かめ、修正を進める。
- 修正版を公開する
PHPの開発チームが10月21日に公開。
- 各サイトへ修正を適用する
運営者やサーバー提供元が対応する。
レストランの弱点を見つけても、それだけで厨房は直りません。同じように、AIが問題を見つけた後にも、人が確かめ、直し、各サイトで使えるようにする仕事が残ります。
文章や画像を作るだけでなく、Webの仕組みに危険な弱点がないか調べることにも、AIが役立った。 それが今回のニュースの注目点です。
3．自分は何を確認すればいい？
「サイトを利用する側」なのか、「運営する側」なのかで、確認することは異なります。
サイトを見る・使う人
利用先のPHPを、自分で更新することはできません。今回の発表だけで情報漏えいを決めつけたり、一律にパスワード変更が必要だと考えたりする必要はありません。
利用先の公式案内を確認する
サイトを管理する人
サーバー側に今回の修正が適用されているか確認します。提供元のお知らせを確認し、不明ならサーバー会社や保守担当者に問い合わせましょう。
修正の適用状況を確認する
WordPressを更新すれば、それで完了？
WordPress本体や、機能を追加する「プラグイン」の更新と、PHPの更新は別です。管理画面に「更新済み」と出ていても、PHPの問題まで直ったとは限りません。
更新する対象が違います
- WordPress・プラグイン
サイトを作る機能や、その追加機能。 - PHP
それらを動かすサーバー側の仕組み。
今回の修正対象
不明な場合は、サーバー会社や保守担当者へ「今回のPHPの問題は、私のサイトでも修正されていますか？」と確認しましょう。下の番号を添えると、どの問題かを伝えやすくなります。
問題を区別する番号：
CVE-2026-109618 ／ CVE-2026-109619
料理がいつもどおり出てきても、厨房の弱点が直った証拠にはなりません。サイトも同じで、普通に表示されることと、修正済みであることは別です。
4．発見だけでは、対策は終わらない
AIが欠陥の発見に役立つことは、防御する側にとって心強い変化です。一方で、OpenAIは、同じ能力が攻撃方法の開発を速める可能性にも言及しています。
だからこそ、見つける速さだけでなく、修正を実際のシステムへ反映する速さも重要になります。
「修正版が公開された」と「使っている環境が修正された」は同じではありません。
普段からサービスの重要なお知らせを確認すること。サイトを運営しているなら、緊急時の連絡先と更新を担当する人を把握しておくこと。こうした備えは、AIが進化しても必要です。
なお、AIにサイトのURLを渡して「安全です」と返答されても、それだけでは安全確認になりません。公開ページを見るだけでは、サーバー内部の修正状況までわからないためです。
AIが問題を見つける力と、人が対策を行き渡らせる仕組み。その両方が、実際のリスクを減らすことにつながります。
今回、押さえておきたいこと
- PHPに重大な欠陥が二つ見つかり、修正版が公開された。
- 発見の一つにはAIが使われ、修正と公開は人が協力して進めた。
- 利用者は公式案内を確認。運営者は修正の適用状況を確認する。
- 修正版は、実際の環境へ適用してこそ対策になる。
AIの得意なことと、任せきれないことを学びませんか？
boom nowでは、企業向けAI研修のご相談を受け付けています。現在の業務や社員に身につけてほしいことから、研修内容を一緒に整理します。