OpenAIのAIがPHPの重大な脆弱性を発見｜世界のウェブサイト約70%に影響・アップデートを推奨——久留米・福岡の中小企業向けセキュリティ活用ガイド
OpenAIは2026年10月21日、同社のAIモデルが研究者チームとともに、世界のウェブサイトの約70%で使われているプログラミング言語「PHP」に2件の重大な脆弱性を発見したと発表しました（出典：OpenAI公式X発表・Axios・TomHardwareなどの報道）。発見には同社の「Patch the Planet」イニシアチブのもと、GPT-6.1 Solをはじめとするモデルが活用されたとされています。人間の開発者が2年以上解決できなかった脆弱性を、AIを活用した研究者チームが数週間で動くエクスプロイト（攻撃コード）として実証したと伝えられており、AIがセキュリティ分野で果たす役割の大きさを改めて示した出来事として注目されています。
何が起きたか
CVSSスコア9.2の重大な脆弱性を2件発見・修正
今回発見された脆弱性はCVE-2026-109618とCVE-2026-109619の2件で、いずれもCVSS v4.0のスコアが9.2（最大10）と評価される「クリティカル」レベルです（出典：TomHardware・cellcog.aiなどの報道）。認証なしにサーバーを遠隔から操作できる「認証不要のリモートコード実行」が可能な脆弱性で、米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は「php2shell」と命名しています。修正済みのPHPバージョン（8.5.12、8.4.27、8.3.36、8.2.35）への更新が推奨されており、OpenAIは自社のCodexを使って対象バージョンを調べられるスキルも公開したとされています（出典：cellcog.ai、OpenAI開発者コミュニティ）。
発表時点では、悪意ある攻撃者による広範な悪用は確認されていないとされており、AIが攻撃者よりも先に脆弱性を発見・対処できた事例として評価されています（出典：OpenAI公式発表）。一方でOpenAI自身も、同じ能力が攻撃ツールの開発に悪用される可能性があると警告しており、今後同様の発見が増える見込みだとも述べています（出典：TomHardware）。
AIによるセキュリティ研究が新段階へ
OpenAIは今回の発見を「Patch the Planet」と名付けたイニシアチブの一環と位置づけており、AIと人間の研究者が連携してオープンソースのコード基盤を守る取り組みを広げていく方針だとしています（出典：OpenAI公式発表）。クラウドセキュリティ企業のWizも調査に関与したと伝えられており、業界横断での協力体制が実際のセキュリティ対策に機能した事例として注目されています。
日本への影響・ビジネスでの活用ヒント
WordPressをはじめ、日本の多くの企業・店舗・行政機関のウェブサイトもPHPを基盤としています。今回の脆弱性はすでに修正版が公開されているため、PHPを使ったウェブサイトを運営している場合は、利用中のホスティングサービスや制作会社に更新状況を確認することが推奨されます。
- WordPressサイト運営者：WordPressはPHPで動作しており、ホスティング側での自動更新が有効かどうかを確認することが一つの対策になります。
- 自社システム開発・運用担当者：社内・外注を問わず、PHPのバージョンを8.5.12以上、8.4.27以上、8.3.36以上、8.2.35以上に更新することが推奨されます（出典：各報道）。
- AI活用の視点：今回の事例はAIが脆弱性を人間より先に発見した事例であり、セキュリティ点検業務にAIを活用する動きが今後加速すると見られます（推測）。
久留米・福岡の中小企業様へ——ウェブサイトのセキュリティ管理をAIでどう効率化するか
久留米市内や近隣の中小企業様の中には、会社案内や商品情報のウェブサイトをWordPressで運営されているケースが多くあります。WordPressはPHPで動作しているため、今回のような脆弱性の影響を受ける可能性があります。しかし、多くの中小企業様では専任のIT担当者がおらず、「脆弱性が出てもどこで確認すればいいかわからない」「更新作業をいつ誰がやるのか決まっていない」というケースが少なくないのではないでしょうか（推測）。ヒカリのDX推進支援では、こうした定期的なソフトウェア更新・セキュリティ確認の体制を、外部の専門業者への依頼やクラウドツールの組み合わせで仕組み化する方法を一緒に整理しています。
福岡市内のEC事業者様や予約システムを自社で運営されている企業様では、ウェブサイトのセキュリティは直接的な売上・顧客情報の保護に関わります。今回の事例のように、AIが脆弱性を検知・通知するツールの活用も今後広がると見られますが（推測）、まずは現在運用中のサーバーやCMS（コンテンツ管理システム）のバージョンを把握し、更新フローを整えることが基本的な対策です。ヒカリでは、福岡の中小企業様が自社のウェブ資産の状況を整理し、セキュリティ対応を継続できる体制を一緒に検討するご支援も行っています。
AIがセキュリティ分野でも活躍の場を広げる中、「AIを使ってどう自社のリスクを管理するか」という視点は、業種を問わず重要になっています。ヒカリのAIスクールでは、AIツールのセキュリティリスクと安全な活用ルールの整備についても扱っており、久留米・福岡の企業様が現場で判断できる知識の習得をサポートしています。