調査・コラム

【調査レポート】AIが弱点を見つける時代へ。PHPの脆弱性「php2shell」から考える、塾・学校のWebサイトの備え

2026年10月22日

2026年10月21日、Webサイトを動かすしくみとして世界で広く使われている「PHP」に、重大な脆弱性が2件あると公表されました。通称「php2shell」。10年以上気づかれていなかったこの欠陥は、AIを活用した調査で見つかりました［2］［5］。

見つけたのは、2つのセキュリティ企業です。米国のCalifは、OpenAIが主導する脆弱性対策の取り組み「Patch the Planet」の一環として、OpenAIのAI「GPT-5.6 Sol」を使って発見しました［1］［13］。Google傘下のWizも、Googleの「Gemini 4 Argon」やOpenAIの「GPT-5.6 Sol」、自社のAIを使い、2件とも独自に見つけています［1］［2］［13］。

OpenAIは、同じようなAIによる発見が今後数か月で急増すると予測しています［1］。AIが弱点を見つける時代に、塾・学校のWebサイトには何が求められるのか。公式発表と国内外の報道をもとに整理しました。塾・学校・教育関係者の皆さまに向けた調査レポートです。

※ジュクタン編集部はセキュリティの専門機関ではありません。本レポートは公開情報の整理です。個別の技術的な判断や対応は、制作会社・サーバー会社・専門家にご相談ください。

※本件は対応が進行中で、状況は日々変わっています。本レポートは更新する場合があります。(2026年10月22日時点の情報にもとづく)

要旨

AIが、10年以上眠っていた欠陥を見つけた。 世界のWebサイトの約7割で使われるとされるPHPに、認証なしで外部からサーバーを操られるおそれのある欠陥が見つかった。発見したのは、AIを活用した海外のセキュリティ企業2社だった［1］［2］。
OpenAIは、同様の発見が今後数か月で急増すると予測。 AIは守る側に時間を生む一方、攻撃する側の道具づくりも速めうる。弱点が見つかってから攻撃されるまでの時間は、短くなっていく［1］。
塾・学校に必要なのは、平時の備え。 どんなしくみのサイトでも、修正をすぐに当てられる体制、止まったときの代わりの窓口、使っていない古いサイトの片付けが、これまで以上に重要になる。

1. 何が起きたのか

PHPは、Webサイトをその場で組み立てて表示するためのプログラミング言語です。WordPressをはじめ、多くのホームページや予約・申し込みのシステムがPHPで動いています。Wizは、世界のWebサイトの約7割がPHPを使っているとしています［2］。

見つかった脆弱性は2件(CVE-2026-109618、CVE-2026-109619)で、深刻度はいずれも10点満点で9.2の「緊急」です。悪用されると、ログインなどの認証なしに、外部からサーバー上で任意のプログラムを実行されるおそれがあります［4］［5］。

PHPの開発チームは日本時間10月21日夜、修正版(8.5.12、8.4.27、8.3.36、8.2.35)を公開しました［4］。一方、PHP 8.1以前には通常の修正版が出ていません。最小限の修正やOSの提供元による修正はあるため、使っている場合はサーバー会社に確認が必要です［4］［5］［11］。

公表を受けて、世界と日本で予防のための停止が相次ぎました。

海外: オランダ、デンマーク、フランス、フィンランドが一部の政府サイトを停止し、カナダも政府サイトの一時停止を発表した［6］。
日本: IPA(情報処理推進機構)が公開前から準備を呼びかけ［8］、高市首相がXで修正版の速やかな適用の準備を呼びかけ、すぐに適用できない場合はサイトの一時停止も有効だとした。首相が個別のソフトウェアの脆弱性について直接呼びかけるのは異例とされる［9］。国家サイバー統括室も、速やかな適用と、すぐに修正できない場合のサイトの一時停止を呼びかけた［9］［14］。国内の大手レンタルサーバーも、相次いで緊急メンテナンスや予防的な停止に入り、22日朝までに一部では修正の適用が完了したと発表されている［10］［11］［15］。

公表直後の報道では、攻撃の試みが観測されています。公式に確認された侵害はまだ報告されていませんが、被害を訴える未確認の報告も出ています［5］［7］［12］。

2. なぜ今:AIが弱点を見つける時代

AIを活用した調査で、2チームが別々に発見

Calif: OpenAIが主導する脆弱性対策の取り組み「Patch the Planet」の一環で、OpenAIのAI「GPT-5.6 Sol」を使って、2件のうち1件の重大な欠陥を発見した［1］［13］。
Wiz: 自社のAI「Wiz Atlas」に加え、Googleの「Gemini 4 Argon」とOpenAIの「GPT-5.6 Sol」を使い、2件とも独自に発見した［1］［2］［13］。AIは発見だけでなく、攻撃が成立するかの検証や、修正が正しく効いているかの確認にも使われた［2］。

問題のコードは、PHP 5.4のころから10年以上存在していたとされます［2］［5］。発見は2026年8月で［2］［12］、そこから約2か月をかけて、PHPの開発者を中心に修正の準備が進められました［1］。

OpenAIの発表から読み取れること

OpenAIは10月21日、脆弱性対策の取り組み「Patch the Planet」の一環として、今回の対応を公表しました［1］。その内容から、AIが弱点を見つける時代の姿が見えてきます。

1. 発見のペースが上がる
OpenAIは、今回のPHPの件は、自社が見つけて対応を進めている重大な脆弱性の一つにすぎないとしています。そのうえで、同様の発見が今後数か月で急増すると予測しています［1］。長年「動いているから大丈夫」とされてきたしくみの中から、これからも弱点が見つかっていく可能性があります。

2. 守る側の「時間」が勝負になる
OpenAIは、最先端のAIが攻撃者より先に欠陥を見つけることで、守る側が修正を準備する時間が生まれると説明しています。一方で、同じ能力が攻撃者の道具づくりを速めるおそれも認めています［1］。実際、今回も公表当日から攻撃の試みが観測されました［5］［7］。見つかってから攻撃されるまでの時間が短くなるということは、守る側にとっては、修正をどれだけ早く当てられるかが勝負になる、ということです。

3. 対応は「全体の連携」で進む
OpenAIは、AIで見つかった脆弱性への対応として、次の5段階の進め方を提案し、業界に意見を求めています［1］。

修正元で欠陥を確かめ、直す
影響を受ける組織に、備える時間を与える
政府と連携して、重要なシステムを守る
配布元やホスティング会社(レンタルサーバーなど)を含め、製品全体で更新を準備する
修正が出たら、手引きを公開して適用を支える

今回、レンタルサーバー各社が相次いでメンテナンスに入ったのも、この流れに沿った動きといえます。塾・学校のサイトは、自分で直さなくても、サーバー会社や制作会社がこの連携の中で守っている部分があります。逆に言えば、誰が自分のサイトの更新を担っているのかを知っておくことが、これまで以上に大切になります。

4. 守りの手薄な組織への支援も始まっている
OpenAIは、限られたセキュリティ体制で重要なサービスを守る組織向けに、総額10億ドル相当のAIの利用支援を用意したとしています［1］。PHPのバージョンを確認する道具も公開しました［1］。さらに将来の姿として、インターネット全体を常に調べ、弱点のあるサイトの持ち主に知らせたり直したりすることも考えられる、と問題提起しています［1］［13］。

3. 塾・学校のWebサイトにとっての意味

塾・学校のサイトは、生徒・保護者の個人情報や、申し込みの受付と直結しています。

申し込みが止まる: 安全のためにサイトやフォームを止めると、その間は体験授業や講習の申し込みを受け付けられません。募集や出願の時期と重なることもあるため、代わりの窓口があると安心です。
個人情報の置き場所が問われる: 生徒の氏名・学年、保護者の連絡先などを、サーバーや外部のサービスに保存している場合は、その置き場所の安全が問われます。
信用にかかわる: サイトが書き換えられたり、不正なリンクを埋め込まれたりすると、保護者からの信頼に直結します。

止めることは、正しい判断

すぐに修正できない場合について、首相と国家サイバー統括室はサイトの一時停止を有効策の一つとし［9］［14］、欧州連合のセキュリティ機関CERT-EUは公開しているサーバーを外部から切り離すことを検討するよう勧めています［3］。予防のためにサイトを止める判断は、こうした呼びかけに沿った対応です。

AIで弱点が次々に見つかる時代には、「一時的に止める」場面がこれからも出てきます。止めること自体を避けるのではなく、止まっても困らない備えをしておくことが大切です。

4. これからの備え

どんなしくみのサイトでも、弱点が見つかる可能性はあります。PHPやWordPressは今も世界中で広く使われており、更新を続けることで安全性を保ちながら使い続けることができます。大切なのは、弱点が見つかったときに、すぐに動ける体制を平時から整えておくことです。

1. 止まったときの代わりの窓口を決めておく

サイトや申し込みフォームが止まっても、電話、LINE、予約システムなど、別の窓口で申し込みを受け付けられるようにしておく。保護者への案内文も、あらかじめ用意しておくと慌てずに済みます。

2. 誰が、どこまで守っているかを確かめる

制作会社との保守契約に、PHPなど土台部分の更新が含まれているか。レンタルサーバーの場合、どこまでをサーバー会社が対応し、どこからを自分たちや制作会社が対応するのか。WordPress本体やプラグインの自動更新では、PHP本体は更新されません。

3. 修正をどれだけ早く当てられるかを確かめる

欠陥が公表されたとき、誰に連絡が届き、誰が判断し、どれくらいで修正が当たるのか。見つかってから攻撃されるまでの時間が短くなる以上、ここが守りの要になります。

4. サポート期間を点検する

使っているPHPやソフトウェアのバージョンが、サポート期間内かを年に一度は確認する。サポートが終わったバージョンには、修正が届きません。今回修正が出たPHP 8.2も、2026年12月31日でサポートが終わる予定です［4］。

5. 使っていない古いサイトを片付ける

サイトを作り替えたり、別のサービスに移したりした後も、以前のサイトがサーバー上で動き続けていることがあります。古いバージョンのまま放置されやすく、見落としがちです。過去のサイトやテスト用のサイトが残っていないか確認しておく。

6. 外部サービスの対応も確かめる

申し込み受付・予約・メール配信・LINE配信など、外部のサービスに預けている情報については、それぞれの提供元がこうした事態にどう対応するのかを確認しておく。

5. 今回の件で確認すること

今回の脆弱性について、まだ確認していない場合は、制作会社やサーバー会社に次の点を聞いてみてください。

PHPを使っているか。使っているなら、バージョンは何か(8.1以前は通常の修正版なし。最小限の修正やOSの提供元・サーバー会社による対応もあるため、案内を確認)。
誰が、いつ修正版を当てるか。
修正の前に入り込まれていないか(見覚えのない管理者アカウントや不審なファイルの点検)。
更新した後に、申し込みフォームの送信テストを誰が行うか(通知メールや自動返信まで)。

おわりに

今回、多くの塾・学校、制作会社、サーバー会社の担当者が対応にあたっています。ジュクタン編集部は引き続き公式発表を確認し、塾・学校に関係する新しい情報があれば、このレポートを更新します。

留意点

本レポートは2026年10月22日時点の公開情報にもとづきます。脆弱性の影響範囲や被害の状況は、今後の発表で変わる可能性があります。
「世界のWebサイトの約7割」などの数値は、各社の推計です。
個別のサイトが影響を受けるかどうかは、使っているPHPのバージョンや設定、サーバーの環境によって異なります。具体的な対応は、制作会社やサーバー会社にご確認ください。
出どころの分からない「攻撃コード」には、マルウェアが含まれている場合があると注意喚起されています［5］。公式の発表やサーバー会社の案内にもとづいて対応してください。