AIがPHPの脆弱性を短時間で発見、Windows利用者が取るべき対策とは

Windows Centralは2026年10月24日(米国時間)、「I'm making these security changes in the wake of this week's AI cyber attacks - Windows users should do the same before the next one hits｜Windows Central」において、プログラミング言語「PHP」の深刻な脆弱性を悪用するサイバー攻撃の発生を受け、Windows利用者にも予防策を講じるよう呼びかけた。

この問題はWindows PCを直接狙ったものではないが、AIによる脆弱性の発見と悪用の速度があまりにも早く、インターネット全体の安全性に影響を与えているという。

PHPの脆弱性「PHP2Shell」、修正前から攻撃の試み

PHPは30年以上の歴史を持つプログラミング言語だ。W3Techsの調査によると、2026年10月26日時点でサーバ側のプログラミング言語が判明しているWebサイトの69.2%に採用されている。これにはWordPress、Yahoo、Etsy、Wikipediaなども含まれる。今回公表された2件の深刻な欠陥は「PHP2Shell」と呼ばれ、悪意ある攻撃者がサーバを掌握し、データを盗み出す可能性があった。

脆弱性が発見された場合、一般的には開発元などが修正プログラムを準備し、公開時期を調整した上で脆弱性情報を公表する。しかし、今回は修正プログラムの公開前に脆弱性の存在が明らかになり、問題が深刻化した。

詳細を公表したわけではなかったが、深刻度が緊急(Critical)に相当すると述べたことで注目が集まった。一部で攻撃方法やCVE番号が広まるなどし、修正前に攻撃を開始される可能性が高まった。そこでPHPセキュリティチームはアップデートを前倒しにする決定を行い、10月21日に緊急公開した。

この結果、世界中の影響を受けるWebサイトで緊急対応が必要となり、一部ではサービスを一時停止する動きも見られた。この問題ではクラウドサービス事業者のCloudflareも、脆弱性の公表前から数千件におよぶ悪用の試みに対処したという。

AIへの簡単な指示で脆弱性を発見、攻撃の高速化に懸念

今回の事案は脆弱性に関する情報が修正プログラムの公開前に広まり、悪用の試みが早期に確認された点に特徴がある。従来であれば特殊な事例として取り上げるところだが、Windows Centralの記者はAIの高度化によって一般的な事象に変化した可能性を指摘した。

この主張の根拠は、ソフトウェアサプライチェーンセキュリティをてがけるChainguardの最高経営責任者(CEO: Chief Executive Officer)、Dan Lorenc氏の事例だ。同氏によると、同社はPHPの脆弱性に関する情報を早い段階で得て、独自に欠陥を発見しようと試みた。

その際、最先端のAIモデルに「PHPの危険な脆弱性を見つけて」と指示したところ、脆弱性の発見に成功したという。高度な専門知識や複雑な操作を必要としなかった点を踏まえ、Lorenc氏は、「これが業界の新たな常態になりつつある」との見解を示した。

もっとも、一般的なWindows利用者が今回のPHP2Shellを理由に慌てる必要はない。PHPは主にサーバ上で動作するため、アプリやWebブラウザーを急いで修正する必要があるわけではない。ただし、脆弱性の影響を受けるWebサイトを利用していた場合、個人情報が流出した可能性は否定できない。

Windows利用者が取るべき対策、パスキーやバックアップも重要

Windows Centralは、日常的に実行できる対策として3点を挙げる。第一に、正常に動作していないように見えるWebサイトでは、ログイン情報を入力しないこと。第二に、メールを注意深く確認し、予期しないリンクを開いたり、信頼できないファイルをダウンロードしたりしないこと。これは脆弱性の発生後に、迷惑メールやフィッシングメールが増える傾向にあるためだ。第三に、銀行口座の明細を確認し、不審な取引がないか調査する。

加えて、将来の攻撃による被害を抑えるため、日頃から複数の防御策を整えるよう勧めている。パスワードマネージャーを使い、アカウントごとに異なる複雑なパスワードを設定する。可能な場合は認証アプリやパスキーを利用し、SMSによる二要素認証だけに頼らないことも大切だ。オペレーティングシステムを含めたソフトウェア全体を最新の状態に保ち、セキュリティソリューション(Microsoft Defenderなど)を有効にすることも基本となる。

オンラインで金融取引を行っているユーザーに対しては、金融関連アプリの取引通知を有効にし、専用のメールアドレスを用意することを提案した。このほか、データのイミュータブルバックアップまたはオフラインバックアップ(エアギャップ保管)の実施、Wi-Fiルーターのファームウェア更新、サポート終了(EOL: End of Life)に達した機器の使用中止も求めている。

AIの活用によって脆弱性の発見や悪用までの時間が短縮される可能性がある中、利用者自身が日常的な防御策を積み重ねることが、個人情報や金融資産、保存データを守るための重要な手段となる。