- セキュリティ企業Califが、OpenAIの取り組み「Patch the Planet」の一環でAIモデル「GPT-5.6 Sol」を使い、PHPの重大な欠陥を特定した。Wizも独自に2件とも見つけた。[1]
- PHPのメンテナーが修正を主導し、OpenAI、Wiz、Cloudflareなどが公開前に防御策を準備した。PHPは10月21日に修正版を公開した。[1][2]
- OpenAIはAIによる同様の発見が今後数か月で急増すると見込み、広く使われるソフトウェアの脆弱性に対応する5段階の枠組みを提案した。[1]
OpenAIは2026年10月21日、PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）への対応を、メンテナー、研究者、セキュリティ事業者との連携で2か月にわたって主導してきたと公表した。[1] 欠陥を特定したのは、OpenAIのAIモデル「GPT-5.6 Sol」を使ったセキュリティ企業Califである。PHPは同じ日に修正版を公開した。[2] OpenAIは、フロンティアAIが攻撃者より先に脆弱性を見つけたことで、防御側に準備の時間ができたと説明し、同様の発見の急増に備える対応の枠組みを示した。[1]
1. 何が起きたのか
PHPは、Webサイトやアプリケーションを動かすオープンソースのプログラミング言語である。PHPの開発チームは10月21日、遠隔から不正なコードを実行されるおそれのある2件を修正したPHP8.5.12、8.4.27、8.3.36、8.2.35を公開した。深刻度はCVSS v4.0で9.2である。[2]
Califは、OpenAIの取り組み「Patch the Planet」（オープンソースの保守担当者をAIと専門家で支援する取り組み）に参加して欠陥を特定した。Wizも独自に2件とも見つけて報告している。[1] 修正とリリースはPHPのメンテナーが主導し、OpenAI、Wiz、Cloudflareなどが調査、技術支援、調整を担った。OpenAIは、米国のホワイトハウスのSuper Intelligence Force、国家サイバー長官室（ONCD）、CISAとも連携し、重要な役割を担う組織にガイダンスが届くよう働きかけた。[1]
AIで見つけたPHPの欠陥を、メンテナー中心の連携で公開前に防いだ
OpenAIの「Patch the Planet」に参加したCalifがGPT-5.6 Solで欠陥を特定し、PHPのメンテナーが修正を主導した。
Patch the Planet
出典 OpenAI（2026-10-21）、The PHP Group（2026-10-21）
2. なぜ今なのか
OpenAIは、今回の2件を、すでに見つけて修正に取り組んでいる複数の重大な脆弱性の一部と位置づける。今後数か月で、AIによる同様の発見が急増すると見込み、同じ能力が攻撃者の攻撃ツールやエクスプロイトの開発にも役立ちうると警戒している。[1] 研究者がメンテナーと直接修正する従来のやり方に加え、多くの製品にまたがる問題に備える手順を提案した。
多くの製品にまたがる欠陥は、公開前に準備する組織を広げて対応する
OpenAIが示した、従来の直接対応と、今回提案した5段階の対応。
出典 OpenAI（2026-10-21）
提案は5段階で進む。上流で脆弱性を確かめて修正し、影響を受ける組織に準備の時間を確保し、政府機関と連携して重要なシステムを守り、各製品の更新を準備し、修正の公開後にガイダンスで適用を支える。公開前に情報を受け取る組織はメンテナーが選ぶ。[1] Califの記録では、2026年7月30日にPatch the Planetへ招かれ、8月11日に1件目、8月21日に2件目をPHPへ報告した。[3] OpenAIは、防御側がAIを使えるよう、Daybreak for Frontline Defendersを通じて10億ドルの助成も約束している。[1]
取り組みの開始から4か月で、AIの発見が修正版の公開まで届いた
OpenAI、Calif、PHPの発表を時系列に並べる。
OpenAIの取り組み 発見者とPHPの動き
2026年6月22日
7月30日
8月11日
9月3日
10月21日
出典 OpenAI（2026-10-21）、Calif（2026-10-21）、The PHP Group（2026-10-21）
3. 日本の企業にとって何が変わるか
IPAは10月21日、PHPを使うプログラムの把握、PHPを組み込んだ製品の提供元情報の確認、修正版の速やかな適用、サポートの終わったPHPの置き換えを企業に求めた。攻撃者がごく短い時間で悪用しうるとしている。[4] PHP8.2のサポートは2026年12月31日で終わる。[2]
OpenAIの枠組みでは、公開前の情報は、メンテナーが選んだ配布元、ホスティング事業者、セキュリティ事業者に先に届く。[1] レンタルサーバーや製品に組み込まれたPHPを使う企業は、提供元の更新を受けて動く側になる。提供元の告知を誰が受け取り、どのサイトに当てはまるかを誰が決めるかを定めておくと、修正が出たその日に更新へ移れる。
OpenAIは、PHPのバージョンを確かめるチェッカーをCodexのスキルとして公開した。[1] PHPの開発チームは10月23日にも、関連する別の問題（CVE-2026-115560）について、php.iniでsession.upload_progress.enabledを0にする緩和策を案内している。[2] 自社で動くPHPのバージョンと設置場所を一覧にしておけば、こうした案内と照らして、更新が要る場所をすぐに絞り込める。
まとめ
官民連携 / 2026年10月21日
OpenAI、AIで見つけたPHPの重大な脆弱性2件の対応を主導
CalifがGPT-5.6 SolでPHPの欠陥を特定し、PHPのメンテナーが修正を主導した。OpenAI、Wiz、Cloudflareなどが防御策を準備した。
修正版の公開 2026年10月21日
予測 OpenAIは今後数か月で同様の発見が急増すると見込む
懸念 同じ能力が攻撃ツールやエクスプロイトの開発にも役立ちうる
提案 公開前に配布元や事業者、政府機関が準備する5段階の手順
1 自社で動くPHPのバージョンと設置場所を一覧にしているか
2 提供元から届く更新の告知を、誰が受け取って判断するか
3 サポートの終わったPHPを使い続けている環境はないか
出典 OpenAI（2026-10-21）、The PHP Group（2026-10-21）、IPA（2026-10-21）
- OpenAI「Patch the Planet：エージェントによる重大な脆弱性の発見と世界規模の対応連携」（2026年10月21日）。取得2026-10-24。
- The PHP Group「Security advisory: Critical RCE vulnerabilities」「PHP 8.5.12 Released」ほか（2026年10月20日〜23日）。取得2026-10-24。
- Calif「PHP2Shell」の公開経緯（2026年10月21日）。取得2026-10-24。
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日、22日更新）。取得2026-10-24。
