OpenAIのAIが発見、PHPの重大脆弱性「php2shell」を各国連携で修正
OpenAIセキュリティPHPWordPress脆弱性Patch the Planet
OpenAIは10月21日、オープンソース支援プログラム「Patch the Planet」の一環として、PHPに存在した重大な脆弱性「php2shell」の協調的開示を公表した。GPT-5.6 Solを用いたセキュリティ企業Califの調査で1件が特定され、Wizも独立して2件を報告。約2か月かけてPHPメンテナ、Cloudflare、CISAなどと連携し、修正版リリースと同時に公開された。
何が発表されたか
- OpenAIが「Patch the Planet」イニシアチブの成果として、PHPの重大脆弱性「php2shell」の協調的開示を発表（2026年10月21日）。
- セキュリティ企業CalifがGPT-5.6 Solを用いて1件を特定。クラウドセキュリティのWizは独立調査で2件を発見・報告した。
- 約2か月にわたり、PHPメンテナ、Cloudflare、ホワイトハウスのSuper Intelligence Force、ONCD、CISA、各国パートナーと連携して対応。修正版リリースと同時に公開された。
- OpenAIは今後の対応手順として5段階のフレームワーク（上流修正→組織の準備期間→政府連携→製品側更新→ガイダンス公開）を提示。
- 影響バージョンの判定用に「php2shell-checker」をCodexスキルとして配布している。
実務への影響
PHPはWordPressやEC-CUBE、各種レンタルサーバ上の受託案件の土台であり、保守契約で預かっている全サイトが対象になり得る。やることは単純で、優先度が高い。
- 顧客サイトのPHPバージョンを棚卸しし、
php2shell-checkerまたは各サーバ会社の案内で該当有無を判定する。 - 該当すればPHPの修正版へ更新。共用サーバならホスティング事業者の適用状況を確認し、未適用なら適用予定を問い合わせる。
- CISAの優先度判定（露出・悪用状況・影響度）に沿って、緊急パッチか計画更新かを切り分ける。
- WAF頼みにせず、侵害有無のフォレンジック確認も検討する。
OpenAI自身が「同種の発見は今後数か月で急増する」と述べている点が重い。AIによる脆弱性発見が常態化すれば、保守契約に「緊急パッチ対応」の枠と費用を明記しておくことが実務的な備えになる。
利用条件
脆弱性チェッカーおよびガイダンスは無償公開。OSSメンテナ向けにはCodex for OSSサブスクリプションとPatch the Planetの支援申請が用意されている。