2026年10月21日（米国時間）、プログラミング言語「PHP」の開発チームは、重大な脆弱性2件を直す緊急の修正版を公開しました。同じ日にOpenAIは、この脆弱性の発見に自社のAIモデルが役立ったと発表しています。
当記事では、何が起きたのか、AIが見つけたとはどういうことか、ふつうのネット利用者やブログを持っている人は何をすればいいのかを、公式の発表をもとに整理します。
PHPに重大な脆弱性「PHP2Shell」、修正版が公開（2026年10月21日）
PHP公式の発表はこちら
PHPの公式サイトでは、2026年10月21日付で「PHP 8.5.12」「8.4.27」「8.3.36」「8.2.35」の4つが、セキュリティの修正版として公開されました。直したのは「CVE-2026-109618」と「CVE-2026-109619」の2件で、事前の告知ではどちらも深刻度が「CVSS v4.0で9.2」（10点満点）とされています。
公式の発表では、この2件はログインしていない外部の相手でも、サーバー上でプログラムを動かせてしまうおそれがある脆弱性だと説明されています。また「完全な回避策はなく、更新することが唯一の安全な選択」（編集部訳）と、すぐの更新を強くすすめています。
>>PHP 2026年10月のセキュリティリリース（PHP 公式）
なお「PHP2Shell」は、発見にかかわったセキュリティ企業などが使っている通称です。
そもそもPHPとは？
PHPは、Webサイトを動かすためのプログラミング言語です。ブログやネットショップのページを、アクセスがあるたびにサーバー側で組み立てる役目をしています。
ブログを作るときによく使われる「WordPress」もPHPで動いています。OpenAIやWiz社は、PHPは世界のWebサイトの約7割で使われているとされると説明しています。
脆弱性とは？
脆弱性（ぜいじゃくせい）とは、ソフトウェアの「弱点」や「欠陥」のことです。家にたとえると、外から開けられてしまう壊れた窓のようなものです。
Wiz社によると、過去10年ほどに出たPHPのほぼすべてのバージョン（5.4以降）が、2件のうち少なくとも1件の影響を受けます。
AIが脆弱性を見つけたとはどういうこと？OpenAIの説明
今回注目されているのは、発見にAIが使われた点です。各社の公式発表を見ていきます。
1. OpenAI：「Patch the Planet」の取り組みで発見を支援
OpenAIの公式記事によると、セキュリティ企業のCalif社が、OpenAIの「Patch the Planet」という取り組みの一環として、AIモデル「GPT-5.6 Sol」を使って重大な欠陥を見つけました。Patch the Planetは、オープンソース（誰でも使える形で公開されたソフトウェア）の開発者を支える取り組みです。
>>Patch the Planet：エージェントによる重大な脆弱性の発見と世界規模の対応連携（OpenAI 公式）
2. Calif社・Wiz社：AIを使ってプログラムを調べた
Calif社の公式記事によると、最初の欠陥を見つけたのは2026年8月1日で、8月中にPHPの開発チームへ報告しました。Calif社は、最初の発見には「誰でも使えるモデル以外は使っていない」としています。
Wiz社も独自に2件の脆弱性を見つけて報告しました。Wiz社の公式ブログでは、自社のツール「Wiz Atlas」に加えて、Googleの「Gemini 4 Argon」とOpenAIの「GPT-5.6 Sol」を使ったと説明されています。
つまり、人間の研究者が、AIを相棒にしてPHPのプログラムを調べ、欠陥を見つけたというのが今回の「AIが見つけた」の中身です。AIがひとりでに見つけて公表したわけではありません。
3. 「攻撃者より先に見つけた」という説明
OpenAIは、知る限り、AIは攻撃者より先にこの脆弱性を見つけたと説明しています。その結果、PHPの開発者やセキュリティ企業が、公表の前に修正や防御策を準備する時間（防御側の猶予期間、英語では「Defender’s Window」）を得られたとしています。
一方で、Cloudflare社は公式ブログで、脆弱性の情報が正式な公開日より前に漏れ、同社の顧客をねらった攻撃の通信を確認したと報告しています。また、OpenAIの公式Xの投稿には、利用者が付ける補足（コミュニティノート）で、発見の経緯について別の見方も示されています。
>>PHPの脆弱性へのWAFでの防御（Cloudflare 公式ブログ・英語）
「AIのおかげで準備が間に合った」面と、「公表の前後で攻撃も始まった」面の両方があったと受け止めておくのがよいでしょう。
4. AIが攻撃に使われる心配は？
OpenAIも公式記事の中で、脆弱性を見つける同じ能力が、攻撃者による攻撃ツールづくりにも役立つ可能性があると認めています。
そのうえで、悪用を止める仕組み（ブロック用の分類器）の調整を進めていること、防御側の組織がAIを使えるように「Daybreak」の利用に10億ドルの助成を約束していることを説明しています。今後数か月で同じような発見が急増するとも見込んでいます。
Wiz社も、最先端のAIによって古い欠陥を実際の攻撃につなげるハードルが大きく下がったと指摘しています。AIは守る側にも攻める側にも使える道具だという点は、覚えておきたいところです。
▶ 関連記事：Claude Mythos 5が量子回路の設計で成果！どんなモデルで、日本でも使える？
▶ 関連記事：Googleが「Gemini 4 Argon」を公開！何が変わった？無料プランで使える？
PHPの脆弱性、ふつうのネット利用者に影響はある？
Webサイトを見るだけの人が何かする必要はある？
今回の脆弱性は、Webサイトを動かしている「サーバー側」のPHPの問題です。スマホやパソコンでサイトを見るだけの人が、自分の端末で何かを更新する必要はありません。
ただし、更新が遅れたサイトが乗っ取られることも考えられます。見慣れたサイトでも、急にログイン情報やカード番号を求められたら入力しないといった、ふだんどおりの注意を続けましょう。
サイトが一時的に止まっているのはなぜ？
報道によると、海外では修正の適用のため、一部のサイトやサービスが一時的に停止する動きが出ました。WordPressの公式発表でも、英国の国家サイバーセキュリティセンター（NCSC）が「完全に対策できるまでシステムをオフラインにすることを検討すべき」としていると紹介されています。
WordPressなどでサイトを持っている人がやること
ブログやお店のサイトを運営している人は、次の順番で確認しておきましょう。なお、Cloudflare社などは攻撃を防ぐ仕組み（WAF）をすでに用意していますが、根本的な対策はPHPの更新です。
まずはPHPのバージョンを確認する
WordPressの公式発表では、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できると案内されています。レンタルサーバーの管理画面（コントロールパネル）でも確認できることが多いです。
PHP 8.2〜8.5を使っている場合は、8.5.12・8.4.27・8.3.36・8.2.35以上になっているかを見てください。
レンタルサーバーの案内を確認する
レンタルサーバーを使っている場合、PHPの更新はサーバー会社が行うことがほとんどです。WordPressの公式発表でも、サーバー会社がすでにPHPの更新や防御ルールの追加を進めている可能性があるとしつつ、状況を確かめるようすすめています。
サーバー会社のお知らせを確認し、自分で切り替えが必要かを見ておきましょう。
WordPress本体やプラグインの更新では直らない
WordPressの公式発表によると、今回の問題はPHPを動かしているサーバー全般にかかわるもので、WordPress本体の更新は必要なく、予定もされていません。Cloudflare社も、サイトのプログラムやプラグインを更新するだけでは直らないと説明しています。
古いPHP（8.1以前）を使っている場合
PHPの公式発表によると、PHP 8.1以前は、PHPの開発チームからの更新がすでに終わっています。基本は新しいバージョンへの切り替えがすすめられています。
また、PHP 8.2も2026年12月31日でサポートが終わり、その後はセキュリティの修正が出なくなります。テーマやプラグインの対応を確かめたうえで、新しいバージョンへの切り替えを検討しましょう。
>>Critical PHP Security Release（WordPress.org 公式・英語）
▶ 関連記事：OpenAIがAIエージェントの想定外の行動を報告！安全性とChatGPTへの影響を解説
※2026年10月22日時点・PHP 公式のセキュリティリリース（2026年10月21日）、OpenAI 公式記事「Patch the Planet」（2026年10月21日）と公式Xの投稿、Wiz・Calif・Cloudflare・WordPress.org の公式発表より
【まとめ】PHPの脆弱性は「AIが見つける時代」の始まり
2026年10月21日（米国時間）、PHPの重大な脆弱性2件を直す修正版が公開され、OpenAIは自社のAIモデルが発見を手助けしたと発表しました。サイトを見るだけの人は特別な作業はいりませんが、WordPressなどでサイトを持っている人は、PHPのバージョンとサーバー会社の案内を今のうちにチェックしておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月22日時点のものです。
