OpenAI、PHP脆弱性騒動を振り返る：2ヶ月間秘密裏に調整していたが、フォーラムで事前に情報漏洩

動察 Beating AI速報、OpenAIがPHP脆弱性騒動の背後にあった2か月間の秘密修正作戦を振り返る記事を公開した。セキュリティ企業CalifはGPT-5.6 Solを活用し、PHPにおける重大な脆弱性を発見した。別のセキュリティ企業WizもGemini 4 Argon、GPT-5.6 Solなどのモデルを利用して、独立に2件の脆弱性を発見・報告した。これらの問題はPHPの基盤に10年以上潜伏しており、攻撃者はログインなしで影響を受けるウェブサイトのサーバーを制御し、パスワードなどの機密情報を窃取する可能性があった。

PHPはWordPress、Drupalなど多数のウェブサイトを支えている。過去2か月間、OpenAIが主導してPHPメンテナー、Wiz、Cloudflareなどの機関を調整し、機密状態でパッチと防御措置を準備するとともに、ホワイトハウスおよび米国のサイバーセキュリティ機関とも連絡を取った。実際の修正はPHPメンテナーが主導し、約200のファイル、1万行以上のコードに関わった。

当初は10月22日に脆弱性を公開する予定だったが、20日に何者かがHacker Newsフォーラムで脆弱性の番号、深刻度、開示時期を事前に漏らした。PHPチームは警告を前倒しで発信せざるを得なくなり、パッチ公開日を1日前倒しした。Cloudflareはその後、初期の攻撃試行を観測したことを確認し、オランダ、フィンランドなどの一部政府サイトも自主的にオフラインにしてリスクを回避した。10月21日になってようやくPHPは修正版を正式にリリースしたが、各ウェブサイトは依然として自行でアップグレードする必要がある。

OpenAIはこの早期発見・調整修正の期間を「防御者ウィンドウ」と呼んでいる。Wizの研究によれば、最先端AIモデルの活用により、本来トップセキュリティチームが数か月かけて開発する必要があった複雑な脆弱性攻撃手法が、今では1人の研究者が1週間で完成できる可能性がある。AIは防御者が長年隠れていたセキュリティ問題を発見しやすくする一方、攻撃者がこうした脆弱性を悪用する技術的ハードルも大幅に下げている。