世界で広く使われているプログラミング言語「PHP」に深刻な脆弱性が見つかった問題は、社会に大きな混乱を引き起こしている。PHPは、ウェブサイトの裏側で、利用者の操作に応じた処理などを行うために使われている。その脆弱性が見つかったとして、21日夜に修正プログラムが公表された。
 
木原官房長官は22日の記者会見で、政府関連機関や重要インフラ事業者などに幅広く修正パッチ適用の注意喚起を行った、と述べた。政府機関や重要インフラ事業者から被害の報告は受けていないと説明したうえで、PHPを使ったウェブサイトを運営する事業者には速やかに修正パッチを適用するように呼びかけた。また、ウェブサイトなどを一時的に停止させることも、リスクを低減させるために有効な対策の一つだと指摘した。
 
実際、厚生労働省や財務省など複数の政府機関の一部ウェブサイトで公開を一時停止している。高市首相も自身のホームページ（HP）を一時的に閉鎖した。鉄道、百貨店、銀行などでも一部のサービスを停止する動きが広がった。
 
銀行について、全国銀行協会（全銀協）は、銀行間の決済への影響は確認されていないとしている。銀行の多くは、決済系は止めずに、PHPを使う周辺のWeb機能（ホームページ、申し込み、予約）を止める形の対応をしている。いずれも被害が出たからではなく、予防的な措置だ。

世界のウェブサイトの最大70％を支える技術である「PHP」の開発者らは21日に、深刻なセキュリティ上の問題を公表した。PHPがメモリーを管理する仕組みに関する2件の脆弱性だ。
 
これをハッカーが悪用すれば、多くのPHPシステムが乗っ取られる恐れがある。情報を盗み出したり、ハッキングされたウェブサイトを訪れた人々を標的にサイバー攻撃を仕掛けたりできるようになる。
 
この脆弱性はAIを使って発見された。ウェブサイトの管理者らは現在、最先端のAIシステムによって悪用されかねないこの脆弱性への対応を急いでいる。
 
一般に、セキュリティ修正プログラムが公開されると、防御する側とハッカーとの間での競争が一気に始まる。防御する側は急いで修正プログラムをテストしてインストールしなければならない。一方、ハッカーは修正プログラムを手掛かりにして何が変更されたかを調べ、修正前のシステムを狙う攻撃手法を作る。現在のAIツールはこうした作業を人間よりはるかに速く実行できるため、こうした競争は大幅に短期化している。
 
今回の問題を最初に発見したセキュリティ企業カリフの研究者は今年8月に、PHPのソースコードを監査する過程で、米オープンAIの最先端モデルの助けを借りて、今回の脆弱性を発見した。その後、修正プログラムの作成が進められた。
 
最終的に、修正プログラムの公開日は10月22日に決まったが、公開予定日のわずか2日前の20日に、修正プログラムに関する情報が流出してしまった。そこで、修正プログラムの公開日が前倒しされ、米国時間20日に、翌日に重大なセキュリティアップデートが公開される見通しだとして世界に向けて警告され、備えるよう呼びかけられた。
 
防御側に情報を伝えながら、攻撃側に攻撃手法を開発する時間を与えすぎないようにするという、微妙な戦略がとられたのである。

今回の問題から得られる教訓は大きく三つあると考えられる。第一に、平時の「棚卸し」が有事の対応速度を決めるという点だ。自社のどのシステムでPHPが使われ、どのバージョンが動いているかを事前に把握していた組織は、修正プログラムの公開直後に適用を進めることができたとみられる。
 
一方、把握できていなかった組織は、影響範囲が分からないまま、サービスを広く止めざるを得なかったとみられる。PHPはウェブサイトだけでなく、製品や機器の内部にも組み込まれている。利用しているソフトウエアの一覧を日頃から整えておくことが、最も基本的で、最も効果的な備えとなる。
 
第二に、重要な機能を切り分けておく設計が被害を抑えるという点だ。一部ではネットバンキングを止めた例もあるが、銀行の多くが決済系を止めずに、周辺のWeb機能だけを止めるという対応をとれたのは、システムがあらかじめ分離されていたからとみられる。すべてを止めるか、何も止めないかの二択ではなく、止められる部分を限定できる設計にしておくことが、事業の継続と安全を両立させる鍵になる。
 
第三に、AIの登場によって、防御側に残された時間は確実に短くなっているという点だ。今回の脆弱性はAIの助けで見つかったが、同じ技術は、修正プログラムから攻撃手法を割り出す側にも使われる。修正プログラムの公開から悪用までの猶予は、もはや数週間ではなく、数時間から数日と考えるべきだろう。サポートが終了した古いバージョンを使い続けることのリスクも、これまで以上に重くなっている。
 
今回の混乱は、AI時代のサイバー防御では「速さ」が決定的に重要になったことを示している。そしてその対応の速さは、平時の準備によって生まれるものだろう。首相や官房長官が自ら呼びかけ、政府機関が自らのサイトを止めたことは、ソフトウエアの脆弱性がもはや一企業の技術的な問題ではなく、社会全体の基盤に関わる問題になったことを象徴している。経営層を含めた組織全体が、サイバーセキュリティを事業継続の中核に位置づける時期に来ている。

（参考資料）
“AI Just Found a Bug That Puts up to 70% of the World’s Websites at Risk（AIが発見した脆弱性、世界のウェブサイトの最大70％にリスク）”, Wall Street Journal, October 22, 2026
「PHP脆弱性問題、政府は分析急ぐ　官房長官「重要インフラに注意喚起」」、2026年10月22日、日本経済新聞電子版