トップ ＞ 経済

PHPに重大な脆弱性、支える財団の常勤職員は1人で資金も不足

内容

PHPで何が起きたのか

米国のAI企業のAIモデルを活用したチームが、PHPに重大な脆弱性を2件発見しました。PHPは世界のウェブサイトの最大70％で使われているとされるオープンソースのスクリプト言語です。影響はPHP 5.4以降を動かすウェブサーバーに及びます。修正をしないまま細工された通信を受け取ると、不正なコードの実行、データの流出、サービスの停止を招く恐れがあると報じられています。

警告からほどなく修正版が公開されましたが、更新するかどうかは基本的に各サイトの所有者に任されています。作業のために一時的に停止した政府サイトもありました。韓国では政府が通信・プラットフォーム関連の172施設を緊急点検し、韓国インターネット振興院（KISA）はパッチを当てる前の設定変更を勧告したと報じられています。

PHP財団とはどんな団体か

PHP Foundationは2021年に設立された非営利団体です。研究者やセキュリティー企業と連携し、今回のような事態を未然に防ぐことを目的としています。PHPの開発には財団の職員以外の協力者も参加していますが、保守を担う体制には余裕がありません。

常勤1人という体制

ロイターの取材に対し、財団のエグゼクティブディレクターは、常勤は自分1人だけだと明かしました。ほかには非常勤の業務委託スタッフや無報酬の理事ら約14人と活動しているといいます。AIは脆弱性を見つける助けになる一方で、攻撃者に悪用されるおそれもあります。こうした脅威の高まりから、コード修正の需要は以前の2倍に増えましたが、協力者の数は増えていないと説明しています。企業や政府が頼っている言語であるにもかかわらず、資金が大きく足りていないとも訴えています。朝日新聞は、財団が「構造的な失敗」を認めたと伝えています。

財団の資金を誰がどのように出しているのか、また今後どう改善するのかは、現時点で明らかになっていません。

サイト運営者と利用者への影響

米国で自社サイトを持つ小規模事業者121人を調べたところ、45％がPHPを知らず、71％は自社サイトでPHPを使っているかを把握していませんでした。今回の脆弱性を知らなかった人も71％にのぼります。ホスティング事業者が対応してくれると思い込んでいる所有者もいるとの指摘があります。

大手のウェブインフラ企業は、ファイアウォールに防御策を追加しました。あわせて、賞金100〜1万ドルの攻撃コンテストも始めています。大手ホスティング事業者は、運用代行型のサービスについては利用者が操作する必要はないとしました。一方で、自分でサイトを管理している人や仮想専用サーバーを使っている人は、自らPHPを更新しなければならない場合があります。

問題はサイト側のサーバーにあるため、閲覧者がパスワードを変えたりブラウザーを更新したりしても解決しません。また、サイトが正常に表示されていても、修正が済んでいるとは限りません。

注目ポイント

世界の多くのサイトを支える基盤が、ごく少人数の体制で保守されていたという落差に関心が集まっています。AIによって脆弱性が見つかるペースが上がるなか、修正を担う人手と資金をどう確保するかが今後の焦点です。自分のサイトがPHPを使っているかを知らない事業者が多いことも、身近な問題として受け止められています。

ネットでの反応

SNSでは、PHPの恩恵を受けている企業が寄付やスポンサーとして支えるべきだという声が目立ちます。オープンソースは公共財なのに市場任せになっているという指摘や、ほかの基盤ソフトもボランティア頼みだったと振り返る投稿も見られます。AIの登場で、善意に支えられてきたウェブの仕組みが限界を迎えるのではないかと懸念する声もあります。一方で、財団の体制や資金の問題からは離れ、PHPという言語そのものを批判する書き込みも出ています。

参考記事

• PHP財団の常勤職員「たった1人」の衝撃--ウェブの安全を支える人手と資金が足りないCNET Japan　2026年10月28日 18:30
• PHP財団の常勤職員「たった1人」の衝撃-　2026年10月28日 18:39

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。