GIGAZINEがPHP2Shell悪用を警告

PHP2Shellの事例は、2024年にメモリエラーとしてPHP Foundationに報告されながら、当時その深刻さが認識されず未解決のままだったことにさかのぼる。言語自体は1994年にさかのぼり、当時は「Personal Home Page」の略だった。2026年初頭、OpenAIの支援を受けるサイバーセキュリティ企業CalifによるPHPの独立監査で、AIツールを用いて古いメモリバグが悪用可能であることが示された。研究者らによると、悪用にはメモリ位置や上書きビットに関する精密で多段階の推論が必要で、AI支援が有効だったものの、悪用にはセキュリティとPHPの両方に詳しい人間の専門家が依然として必要だった。この出来事は、AIがレガシーソフトウェアに蓄積された技術的負債を表面化させ得る初期の兆候と受け止められている。また、既存機能を壊さずに欠陥を見つけることと修正することの非対称性が、明確な収益源を持たないオープンソースプロジェクトに増大する負担を課している。対応策としては、防御側への資金提供と高度なセキュリティAIモデルへのアクセス付与、パッチ適用を自動化する形式検証ツールの進展が挙げられている。Anthropicの、LLMが生成したパッチとLLMが生成した証明を組み合わせる例は有望な方向を示すが、ハルシネーションのため最終的な証明には依然として人間のレビューが必要だ。真に深刻な事故が起きるまで何もされないと悲観する専門家もいる一方、明らかなのは、PHP2Shellのような事例は始まりにすぎず、甚大な被害で終わるか静かに解決するかは、どちらが先に脆弱性を見つけるかによるということだ。