【AI世界大戦前夜】OpenAIも警告 PHPは序章に過ぎないこれから日本を襲う恐怖の数カ月

PHPの混乱はこれから始まる恐怖の数カ月の序章

　2026年10月21日、ウェブサイト構築の基盤として広く普及しているプログラミング言語であるPHPの開発グループは、緊急度「最高」に位置づけられるリモートコード実行脆弱性に対する緊急修正プログラムを公開した。この緊急度の高い脆弱性は、PHPのメモリ管理の問題に起因し、認証なしで遠隔からサーバーを乗っ取ることすら可能であるとされている。

　PHPは世界のウェブサーバー環境の約70パーセントを占めており、その影響範囲は極めて広範に及ぶ。注目すべきは、この深刻な脆弱性が約10年以上にわたりコードの深部に放置されており、人間には気付くことができなかったという点だ。今回の脆弱性を発見したのは、AI防御側陣営にいるセキュリティ企業が使用した OpenAIの「GPT-5.6 Sol」や、Googleの「Gemini 4 Argon」といった最先端のAIモデルであった。

　すなわち長い間、人間には見過ごされてきた脆弱性が、AIの進化により明るみに出始めたことを意味しており、悪意を持った攻撃者もほぼ同時のタイミングでAIでこの脆弱性を感知し、一斉に攻撃を拡散させているという事実である。

　これはAI攻撃側と防御側の「タイムトライアル」の幕があけたことを意味しており、まさに「AI vs AI」のサイバー戦争が始まったことを意味している。今回のPHPの騒動は「序章」であり、収束に向かうどころか「恐怖のはじまり」でしかないのである。

　今回のPHP脆弱性の公表に伴い、日本国内でも社会インフラや主要サービスにおいて前代未聞の大規模な影響が生じている。三菱UFJ銀行、静岡銀行、大和証券といった金融機関がオンラインサービスの一部を停止したほか、ニコニコ動画やpixiv、ウマ娘、グラブルなどののサービスが一斉に緊急メンテナンスに突入した。影響はこれにとどまらず、財務省、気象庁、国税庁、札幌市などの政府および地方自治体の公式サイトも相次いでアクセスを遮断する事態となった。

　高市早苗首相は自身の公式Xアカウントを通じて、修正パッチの可及的速やかな適用を強く要請するとともに、適用に時間がかかる場合はサイトの一時停止も有効なリスク低減策であると直接的に呼びかけ、国家サイバー統括室のアカウントをフォローするよう促すという極めて異例の事態に発展している。

　世界でもこの影響は広がっている。米国ではホワイトハウスが「連邦政府機関や主要なAI企業と連携して米国のネットワークと重要インフラを保護すると対応する」と緊急の声明を発表した。NASAは「PHPを利用しているすべての組織」に対し「この脆弱性は自社のサーバーのファイルシステムやデータベースへの直接的な攻撃経路を提供する」として修正プログラムを適用できない場合はシステムをオフラインにするよう勧告した。

　欧州では政府機関や公共サービスのウェブサイトが相次いで一時停止した。オランダでは行政情報・電子認証サービスやロッテルダム港湾公社、ドイツでは連邦内務省や少なくとも4州のサイトが停止し、大学や医療機関にも影響が及んだ。フランスや北欧諸国でも政府関連サイトが一時停止。英国では当局が早急な対応を呼びかけ、地方自治体やBBCも一部ページを閉鎖した。攻撃被害を防ぐための予防措置が、市民向けの情報提供や公共サービスに広く影響している。

　OpenAIは今回のPHPの件と同時に、攻撃者より先にAIで欠陥を発見できたものの、同様のAIによる脆弱性発見は今後数カ月間で急増すると予測し、強い警告を発している。またAmazonのAWS脅威情報チームは、今回のPHPの問題について、公表の4日前に当たる10月17日から、すでに攻撃者からの「悪用の試み」を確認したと報告している。