PHPの重大な脆弱性をAIが発見｜自社のホームページで確かめること

2026年10月21日（米国時間）、OpenAIが、PHPの重大な脆弱性（安全上の欠陥）について発表しました。同社のモデルを使った調査で見つかった欠陥です。同じ日に、PHPの開発チームも修正版を公開し、すべての利用者にすぐ更新するよう呼びかけています。

PHPは、ホームページやWebのシステムを動かすために広く使われている言語です。ホームページや問い合わせフォームを外部の会社に任せていると、自社が当てはまるのかが分かりにくいものです。この記事では、発表の内容、修正が入った版、自社のホームページで確かめることを説明します。

AIを使った調査で欠陥が見つかり、PHPの修正版が出た

OpenAIの発表によると、同社の取り組み「Patch the Planet」の中で、CalifがOpenAIのモデル（GPT-5.6 Sol）を使って重大な欠陥を見つけました。Wizも、2つの脆弱性をどちらも独自に見つけて報告しています。OpenAIは、同社の知る限り、攻撃する側より先にAIがこの欠陥を見つけたとしています。

PHPの開発チームによると、この2つの脆弱性は、ログインしていない人からも悪用されるおそれがあります。外から送られた通信だけで、サーバーの上で勝手にプログラムを動かされる危険があります。PHPで動いているホームページは、修正が入った版に更新することが必要です。

発表された内容：公開までの約2か月の準備と、対応の進め方

OpenAIは、この2か月ほど、PHPの開発チームや研究者、セキュリティの会社と一緒に動いてきたと説明しています。公開の前に、修正と防ぐ手立てを準備するためです。

修正を主に進めたのはPHPの開発チームです。OpenAIやWiz、Cloudflareなどは、調査や技術面で手伝いました。

OpenAIは、今回の経験をもとに、対応の進め方の案も出しています。広く使われているソフトで、重大な欠陥が見つかったときの進め方です。5つの段階に分け、安全に関わる人たちから意見を集めているところです。

あわせてOpenAIは、使っているPHPの版が危ないかを確かめるツールも公開しました。同社のCodexで使う「スキル」の形です。Codexを使える技術者が社内にいる会社なら、確認の手助けに使えます。

これまでの版との違い：修正が入った版と、更新のしかた

PHPの開発チームの発表では、Webからの通信を受けて動くPHPは、すべて対象です。修正は、使っている系列（8.5、8.4などの大きな版）ごとに出ています。

Linuxを配布する会社などには、修正が前もって渡されています。配布元が用意した更新を使える場合もあるため、まずは使っている会社に確かめます。

すぐに更新できない場合の設定の変更も示されています。ただし、設定の変更で防げるのは一部の攻撃だけで、安全にはならないとPHPの開発チームは書いています。完全な対策は、更新だけです。

自社のホームページで確かめること

会社のホームページを、WordPressというソフトで作っている場合があります。WordPressの公式ページでは、動かすサーバーがPHP 8.3以上に対応していることを勧めています。古い環境ではPHP 7.4以上でも動くとしていますが、そうした古い版はすでに更新が終わっており、危険があると注意しています。

WordPress以外でも、問い合わせフォームや予約の仕組みがPHPで動いている場合があります。

以下は説明のための例です。ホームページと問い合わせフォームの保守を、外部の制作会社に任せている会社の場合です。次のことを、その制作会社に聞いて確かめます。

確かめるときは、だれが更新を受け持つかまで決めておくことが大切です。借りているサーバーの更新を、だれが受け持つのか決まっていない場合もあります。過去に攻撃を受けていないかの確認が要るかどうかも、保守の会社に相談します。

当社の見解：どこで何が動き、だれが更新するかを記録しておく

今回のように、重大な欠陥が見つかると、すぐに更新を求められます。そのときに困るのは、どのシステムで何が動いていて、だれが更新するのかを、社内のだれも知らない場合です。使っているシステムと、更新を受け持つ人を一覧にしておくと、知らせを見てすぐに動けます。

当社では、仕組みをお渡しするときに「管理と引き継ぎ」をあわせてお渡ししています。アカウントと権限、保守の担当、変更依頼の手順をまとめたものです。進め方は導入支援のページで紹介しています。

建設資材のレンタルの会社には、FAXで届く図面から数量を拾い、見積を作る仕組みをご提案しました。このご提案では、システムが止まった日に仕事をどう続けるかも論点になりました。従来の手順で仕事を続けられるようにし、データは毎日バックアップを取る形をご提案しました。

マスターブレインを活用した、社内の管理の情報の整理

マスターブレインは、会社にあるさまざまな情報・業務知識・判断基準を整理し、必要な場面で活用できるように設計する、会社専用のAI基盤です。

マスターブレインでは、部署・役割に応じて見られる範囲と、更新・承認の手順を最初に決めて構築します。だれがどの情報を直し、だれが承認するかが決まっているので、担当者が替わっても管理の手順が会社に残ります。仕組みの全体はマスターブレインの仕組みで紹介しています。

ここまで読んでいただき、ありがとうございます。

自社のシステム、誰が何を更新するか決まっていますか？

マスターブレインは、会社のデータ・記録・担当者の判断基準を整理し、業務ごとの専用画面から使える会社専用のAI基盤です。まずはサービス概要資料で全体像をつかむか、御社の業務で相談するかをお選びください。

資料をダウンロード（無料）マスターブレイン サービス概要資料

• 仕組みと、5つの層の役割
• 業務別の活用例と構築実績
• 導入の進め方と、費用の決まり方

資料をダウンロードする ↓無料相談（オンライン）御社の「いちばん重い仕事」を伺います

• 説明より先に、動くデモをお見せします
• データが整理されていなくても大丈夫です
• 2営業日以内に担当者からご連絡します

無料で相談する ↗

これまでの構築実績から

• 100%検証208問の正答率地域医師会のチャットボット
• 約1/10書類作成時間訪問介護・障害福祉の事業者
• 35分→3分図面から見積まで建設資材のレンタル